Protocol

Protocole additionnel à la Convention, le 24 septembre 2003 -Original en anglais. La République tchèque déclare que, conformément à l'article 3, paragraphe 2, lettre c, de la Convention, elle applique également cette Convention aux fichiers de données à caractère personnel qui ne font pas l'objet de traitements automatisés. Date d'effet : 25/12/2003 Déclaration antérieure relative aux articles : 3 Roumanie Déclarations consignées dans l'instrument de ratification déposé le 28 février 2002 -Original en anglais- et confirmées par une note verbale de la Représentation permanente de la Roumanie, du 8 juillet 2004, enregistrée au Secrétariat général le 9 juillet 2004 -Original en anglais. La République de Roumanie fait les déclarations suivantes : Conformément à l'article 3, paragraphe 2, lettre a, la présente Convention ne s'applique pas aux traitements de données à caractère personnel incluses dans une base de données lorsque :

a) Le traitement automatisé est effectué dans le cadre d'activités dans les domaines de la défense nationale et de la sécurité nationale, menées dans les limites et avec les restrictions établies par la Loi.

b) Le traitement automatisé des données concerne des données obtenues à partir de documents accessibles au public, conformément à la Loi.

c) Le traitement automatisé est effectué par des personnes physiques pour un usage exclusivement personnel, si ces données ne sont pas divulguées.

Conformément à l'article 3, paragraphe 2, lettre c, la Convention s'applique également aux traitements non automatisés de données à caractère personnel qui font partie d'une base de données ou qui doivent être incluses dans une base de données.

Date d'effet : 1/6/2002 Déclaration antérieure relative aux articles : 3 Déclaration consignée dans l'instrument de ratification déposé le 28 février 2002 -Original en anglais- et confirmée par une note verbale de la Représentation permanente de la Roumanie, du 8 juillet 2004, enregistrée au Secrétariat général le 9 juillet 2004 -Original en anglais.

Conformément à l'article 13, l'autorité nationale compétente est : "Ombudsperson" 3-5 lancu de Hunedoara Avenue Sector 1, Bucarest Code postal 71204 Tél. : 231 50 01 / Fax : 231 50 00 Date d'effet : 1/6/2002 Déclaration antérieure relative aux articles : 13 Déclaration consignée dans l'instrument de ratification déposé le 27 février 2002 -Original en anglais- et confirmée par une note verbale de la Représentation permanente de la Roumanie, du 8 juillet 2004, enregistrée au Secrétariat général le 9 juillet 2004 -Original en anglais.

Cette Convention s'applique également aux traitements automatisés de données à caractère personnel réalisés dans le cadre des activités légitimes de toute fondation, association ou tout autre organisme à but non lucratif et ayant un caractère politique, philosophique, religieux ou syndical, à condition que les personnes concernées soient membres de cet organisme ou entretiennent des relations constantes avec cet organisme, liées à l'activité spécifique de l'organisme, et que les données ne soient pas communiquées à des tiers sans l'accord préalable de la personne concernée.

Date d'effet : 1/6/2002 Déclaration antérieure relative aux articles : Royaume-Uni Déclaration consignée dans une lettre du représentant permanent du Royaume-Uni du 26 août 1987 et remise au secrétaire général lors du dépôt de l'instrument de ratification, le 26 août 1987 -Original en anglais.

La Convention ne s'applique pas aux catégories suivantes de fichiers automatisés de données à caractère personnel :

a) Registres des paiements et des pensions : données à caractère personnel détenues exclusivement pour calculer les rémunérations et les pensions du personnel ou les retenues opérées sur celles-ci.

b) Fichiers de comptabilité et de transactions : données à caractère personnel détenues exclusivement pour tenir des comptes ou des fichiers de transactions.

c) informations mises à la disposition du public en vertu de la Loi : données à caractère personnel qui doivent être mises à la disposition du public en vertu de la Loi. [Note du Secrétariat : Le Royaume-Uni retire cette déclaration à l'égard du Royaume-Uni, mais la maintient à l'égard de Jersey, de Guernesey et de l'Île de Man (date d'effet : 27 avril 2001)] Date d'effet : 1/12/1987 Déclaration antérieure relative aux articles : 3 Déclaration consignée dans une lettre du représentant permanent du Royaume-Uni du 26 août 1987 et remise au secrétaire général lors du dépôt de l'instrument de ratification, le 26 août 1987 -Original en anglais.

Outre le Royaume-Uni de Grande-Bretagne et d'Irlande du Nord, la Convention s'applique également au Bailliage de Jersey et au Bailliage de Guernesey.

Date d'effet : 1/12/1987 Déclaration antérieure relative aux articles : 24 Déclaration consignée dans une lettre du représentant permanent du Royaume-Uni, du 13 janvier 1993, enregistrée au Secrétariat général le 21 janvier 1993 -Original en anglais.

Conformément à l'article 24 de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, je déclare par la présente, au nom du Gouvernement du Royaume-Uni, que la Convention s'applique à l'Île de Man, territoire dont les relations internationales relèvent de la compétence du Gouvernement du Royaume-Uni.

Date d'effet : 21/1/1993 Déclaration antérieure relative aux articles : 24 Déclaration consignée dans une lettre du représentant permanent du Royaume-Uni, du 13 janvier 1993, enregistrée au Secrétariat général le 21 janvier 1993 -Original en anglais- et précisée par une lettre de la Représentation permanente du Royaume-Uni, du 6 janvier 1994, enregistrée au Secrétariat général le 7 janvier 1994 -Original en anglais.

Conformément à l'article 3, paragraphe 2, lettre a, de la Convention, je déclare que la Convention n'est pas applicable aux fichiers servant uniquement à la distribution, à la fourniture ou à l'enregistrement de la distribution ou de la fourniture d'articles, d'informations ou de services aux personnes concernées. [Il a été précisé que la déclaration figurant ci-après à l'alinéa deuxième de la lettre du 13 janvier 1993 (Notification JJ2897C, Tr./ 108-14, 1 février 1993) s'applique uniquement à l'Île de Man et non au Royaume-Uni ou à d'autres îles.] Date d'effet : 21/1/1993 Déclaration antérieure relative aux articles : 3 Déclaration consignée dans une lettre de la Représentation permanente du Royaume-Uni, du 6 janvier 1994, enregistrée au Secrétariat général le 7 janvier 1994 -Original en anglais.

Conformément à l'article 13, paragraphe 2, lettre a, de la Convention, les autorités désignées sont : POUR LE ROYAUME-UNI : The Data Protection Registrar Wycliffe House, Water Lane, Wilmslow, Cheshire, SK9 5AF POUR LE BAILLIAGE DE GUERNESEY : The Advisory and Finance Committee Sir Charles Frossard House, PO Box 43, La Charroterie, St Peter Port, Guernsey, GY1 1FH POUR LE BAILLIAGE DE JERSEY : States of Jersey Data Protection Registrar States Greffe, Royal Square, St Helier, Jersey, JE1 1DD POUR L'ÎLE DE MAN : The Isle of Man Data Protection Registrar Willow House, Main Road, Onchan, Isle of Man Date d'effet : 7/1/1994 Déclaration antérieure relative aux articles : 13 Déclaration consignée dans une lettre du ministre des Affaires étrangères et du Commonwealth, du 18 janvier 2001, enregistrée au Secrétariat général le 26 janvier 2001 -Original en anglais.

Le Royaume-Uni fait la déclaration suivante à l'égard du Royaume-Uni uniquement : "Le Royaume-Uni applique la Convention aux données à caractère personnel qui ne font pas l'objet de traitements automatisés mais qui sont détenues dans un système de classement pertinent. "Un système de classement pertinent" désigne toutes les informations relatives à des personnes qui, bien que les informations ne fassent pas l'objet d'un traitement automatisé conformément aux instructions données à cette fin, l'ensemble est structuré, soit par référence aux personnes, soit par référence à des critères relatifs aux personnes, de telle manière qu'une information spécifique concernant une personne déterminée soit facilement accessible." Date d'effet : 27/4/2001 Déclaration antérieure relative aux articles : 3.2 Déclaration consignée dans une lettre du ministre des Affaires étrangères et du Commonwealth, du 18 janvier 2001, enregistrée au Secrétariat général le 26 janvier 2001 -Original en anglais.

L'autorité désignée par le Royaume-Uni avec effet à compter du 20 janvier 2001 est : The information Commissioner Wycliffe House Water Lane Wilmslow

• Cheshire SK9 5AF L'autorité désignée par le Bailliage de Guernesey est désormais : The Data Protection Commissioner Sir Charles Frossard House PO Box 43 La Charroterie St Peter Port
• Guernsey GY1 1 FH L'adresse de l'autorité désignée pour le Bailliage de Jersey est désormais : The Data Protection Registrar The Data Protection Registry Morier House Halkett Place St Helier
• Jersey JE1 1DD L'adresse déjà notifiée de l'autorité désignée pour l'Île de Man, qui est correcte, ne mentionnait pas le code postal, qui est le suivant : IM3 4PR. Date d'effet : 20/1/2001 Déclaration antérieure relative aux articles : 13.2 Serbie Déclaration consignée dans l'instrument de ratification déposé le 6 septembre 2005 -Original en anglais. Conformément à l'article 3, paragraphe 2, lettre a, de la Convention, la Serbie-et-Monténégro déclare que la Convention ne s'applique pas aux fichiers automatisés de données à caractère personnel détenus conformément à la réglementation des registres pénaux et de la sécurité de l'État. Date d'effet : 1/1/2006 Déclaration antérieure relative aux articles : 3 Déclaration consignée dans deux lettres de la représentante permanente de la Serbie-et-Monténégro, remises lors du dépôt de l'instrument de ratification, le 6 septembre 2005 -Original en anglais. Conformément à l'article 13 de la Convention, la Serbie-et-Monténégro désigne les autorités responsables suivantes : Ministère de l'Intérieur de la République de Serbie Département pour la Coopération internationale 11000 Belgrade, No. 101, Kneza Milosa St. Tél. + 381 11 161 78 54 Fax + 381 11 362 01 89 Secrétariat pour le développement de la République du Monténégro No. 46, Rimski trg 81000 Podgorica Date d'effet : 1/1/2006 Déclaration antérieure relative aux articles : 13 Suède Déclaration consignée dans une lettre du représentant permanent de la Suède du 1er octobre 1985, enregistrée au Secrétariat général le 3 octobre 1985 -Original en anglais. Data Inspection Board Box 12050 S-102 22 STOCKHOLM a été désigné autorité compétente conformément à l'article 13, paragraphe 2, lettre a, de la Convention. Date d'effet : 3/10/1985 Déclaration antérieure relative aux articles : 13 Suisse Déclaration consignée dans l'instrument de ratification déposé le 2 octobre 1997 -Original en français. Conformément à l'article 3, paragraphe 2, de la Convention : La Convention s'applique également aux données personnelles relatives aux personnes morales et aux fichiers de données personnelles qui ne font pas l'objet d'un traitement automatisé. Date d'effet : 1/2/1998 Déclaration antérieure relative aux articles : 3 Déclaration consignée dans l'instrument de ratification déposé le 2 octobre 1997 -Original en français. La Convention ne s'applique pas :

a) Aux fichiers constitués et utilisés par les Parlements fédéral et cantonal dans le cadre de leurs délibérations.

b) Aux fichiers du Comité international de la Croix-Rouge.

c) Aux fichiers de données personnelles qu'une personne physique détient pour un usage exclusivement personnel et qu'elle ne communique pas à des tiers.

Date d'effet : 1/2/1998 Déclaration antérieure relative aux articles : 3 Déclaration consignée dans l'instrument de ratification déposé le 2 octobre 1997 -Original en français. "Le préposé fédéral à la protection des données" est l'autorité compétente pour la coopération dans l'application de la Convention.

Date d'effet : 1/2/1998 Déclaration antérieure relative aux articles : 13 Chypre Déclaration consignée dans l'instrument de ratification déposé le 25 février 2002 -Original en anglais.

Conformément à l'article 13, paragraphe 2, de la Convention, la République de Chypre déclare que l'autorité compétente désignée est le Commissaire à la protection des données, dont l'adresse (provisoire) est : Bureau juridique de la République de Chypre 1403 Nicosia Chypre Tél.: 00 357 2 889131 Fax: 00 357 2 667498 E-mail: [email protected] Date d'effet : 1/6/2002 Déclaration antérieure relative aux articles : 13 Protocole additionnel à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, concernant les autorités de contrôle et les flux transfrontières de données, fait à Strasbourg le 8 novembre 2001 Préambule Les parties au présent Protocole additionnel à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, ouverte à la signature à Strasbourg, le 28 janvier 1981 (ci-après dénommée "la Convention") ; Convaincues que les autorités de contrôle exerçant leurs fonctions en toute indépendance sont un élément de la protection effective des personnes à l'égard du traitement des données à caractère personnel ; Considérant l'importance de la circulation de l'information entre les peuples ; Considérant qu'avec l'intensification des échanges de données à caractère personnel à travers les frontières, il est nécessaire d'assurer la protection effective des droits de l'homme et des libertés fondamentales, et notamment du droit au respect de la vie privée, en relation avec ces échanges ; Sont convenues de ce qui suit : Article 1 Autorités de contrôle

1. Chaque partie prévoit qu'une ou plusieurs autorités sont chargées de veiller au respect des mesures donnant effet, dans son droit interne, aux principes énoncés dans les chapitres II et III de la Convention et dans le présent Protocole. 2.

a) À cet effet, ces autorités disposent notamment de pouvoirs d'investigation et d'intervention, ainsi que de celui d'ester en justice ou de porter à la connaissance de l'autorité judiciaire compétente les violations aux dispositions du droit interne donnant effet aux principes énoncés au paragraphe 1 de l'article 1 du présent Protocole.

b) Toute personne peut saisir l'autorité de contrôle d'une demande relative à la protection de ses droits et libertés fondamentales à l'égard des traitements de données à caractère personnel relevant de sa compétence.

3. Les autorités de contrôle exercent leurs fonctions en toute indépendance.

4. Les décisions des autorités de contrôle faisant grief peuvent faire l'objet d'un recours juridictionnel.

5. Conformément aux dispositions du chapitre IV et sans préjudice des dispositions de l'article 13 de la Convention, les autorités de contrôle coopèrent entre elles dans la mesure nécessaire à l'accomplissement de leurs missions, notamment en échangeant toute information utile. Article 2 Flux transfrontières de données à caractère personnel vers un destinataire n'étant pas soumis à la juridiction d'une partie à la Convention

1. Chaque partie prévoit que le transfert de données à caractère personnel vers un destinataire soumis à la juridiction d'un État ou d'une organisation qui n'est pas partie à la Convention ne peut être effectué que si cet État ou cette organisation assure un niveau de protection adéquat pour le transfert considéré.

2. Par dérogation au paragraphe 1 de l'article 2 du présent Protocole, chaque partie peut autoriser un transfert de données à caractère personnel :

a) Si le droit interne le prévoit :

• Pour des intérêts spécifiques de la personne concernée.
• Ou lorsque des intérêts légitimes prévalent, en particulier des intérêts publics importants.

b) Ou si des garanties pouvant notamment résulter de clauses contractuelles sont fournies par la personne responsable du transfert et sont jugées suffisantes par les autorités compétentes, conformément au droit interne. Article 3 Dispositions finales

1. Les parties considèrent les dispositions des articles 1 et 2 du présent Protocole comme des articles additionnels à la Convention, et toutes les dispositions de la Convention s'appliquent en conséquence.

2. Le présent Protocole est ouvert à la signature des États signataires de la Convention. Après avoir adhéré à la Convention dans les conditions établies par celle-ci, les Communautés européennes peuvent signer le présent Protocole. Le présent Protocole sera soumis à ratification, acceptation ou approbation. Un signataire du présent Protocole ne peut le ratifier, l'accepter ou l'approuver s'il n'a antérieurement ou simultanément ratifié, accepté ou approuvé la Convention ou s'il n'y a pas adhéré. Les instruments de ratification, d'acceptation ou d'approbation du présent Protocole seront déposés près le secrétaire général du Conseil de l'Europe. 3.a) Le présent Protocole entrera en vigueur le premier jour du mois qui suit l'expiration d'une période de trois mois après la date à laquelle cinq de ses signataires auront exprimé leur consentement à être liés par le présent Protocole conformément aux dispositions de son article 3, paragraphe 2.

b) Pour tout signataire du présent Protocole qui exprimera ultérieurement son consentement à être lié par celui-ci, le Protocole entrera en vigueur le premier jour du mois qui suit l'expiration d'une période de trois mois après la date du dépôt de son instrument de ratification, d'acceptation ou d'approbation. 4.a) Après l'entrée en vigueur du présent Protocole, tout État ayant adhéré à la Convention peut également adhérer au présent Protocole.

b) L'adhésion s'effectue par le dépôt, près le secrétaire général du Conseil de l'Europe, d'un instrument d'adhésion qui prendra effet le premier jour du mois qui suit l'expiration d'une période de trois mois après la date de son dépôt. 5.a) Toute partie peut, à tout moment, dénoncer le présent Protocole en adressant une notification au secrétaire général du Conseil de l'Europe.

b) La dénonciation prendra effet le premier jour du mois qui suit l'expiration d'une période de trois mois après la date de réception de la notification par le secrétaire général.

6. Le secrétaire général du Conseil de l'Europe notifiera aux États membres du Conseil de l'Europe, aux Communautés européennes et à tout État ayant adhéré au présent Protocole :

a) Toute signature.

b) Le dépôt de tout instrument de ratification, d'acceptation ou d'approbation.

c) Toute date d'entrée en vigueur du présent Protocole conformément à l'article 3.

d) Tout autre acte, notification ou communication ayant trait au présent Protocole.

En foi de quoi, les soussignés, dûment autorisés à cet effet, ont signé le présent Protocole.

Fait à Strasbourg, le 8 novembre 2001, en français et en anglais, les deux textes faisant également foi, en un seul exemplaire qui sera déposé dans les archives du Conseil de l'Europe.

Le secrétaire général du Conseil de l'Europe en communiquera copie certifiée conforme à chacun des États membres du Conseil de l'Europe, aux Communautés européennes et à tout État invité à adhérer à la Convention.

Situation du Protocole additionnel à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, concernant les autorités de contrôle et les flux transfrontières de données, fait à Strasbourg le 8 novembre 2001 Entrée en vigueur : 1 juillet 2004 Situation au 4 juillet 2007 : États signataires 16, États parties 16 États Signature Ratification Entrée en vigueur R D A T Albanie 9 juin 2004 14 février 2005 1 juin 2005 Allemagne 8 janvier 2001 1 mars 2003 1 juillet 2004 X Andorre 31 mai 2007 Autriche 8 novembre 2001 Belgique 30 avril 2002 Bosnie-Herzégovine 2 mars 2004 31 mars 2006 1 juillet 2006 Croatie 5 juin 2003 21 juin 2005 1 octobre 2005 Danemark 8 novembre 2001 Slovaquie 8 novembre 2001 24 juillet 2002 1 juillet 2004 Finlande 8 novembre 2001 France 8 novembre 2001 22 mai 2007 1 septembre 2007 Grèce 8 novembre 2001 Hongrie 30 mars 2004 4 mai 2005 1 septembre 2005 Irlande 8 novembre 2001 Islande 8 novembre 2001 Italie 8 novembre 2001 Lituanie 8 novembre 2001 2 mars 2004 1 juillet 2004 Luxembourg 24 février 2004 23 janvier 2007 1 mai 2007 Norvège 8 novembre 2001 Pays-Bas 12 mai 2003 8 septembre 2004 1 janvier 2005 X Pologne 21 novembre 2002 12 juillet 2005 1 novembre 2005 Portugal 8 novembre 2001 11 janvier 2007 1 mai 2007 République tchèque 10 avril 2002 24 septembre 2003 1 juillet 2004 Roumanie 13 juillet 2004 15 février 2006 1 juin 2006 Royaume-Uni 8 novembre 2001 X Russie 13 mars 2006 Suède 8 novembre 2001 8 novembre 2001 1 juillet 2004 Suisse 17 octobre 2002 Turquie 8 novembre 2001 Ukraine 29 août 2005 Chypre 3 octobre 2002 17 mars 2004 1 juillet 2004 a. : Adhésion - s. : Signature sans réserve de ratification - su. : Succession - r. : signature ad referendum.

R. : Réserves

• D. : Déclarations
• A. : Autorités
• T. : Application territoriale Déclarations Allemagne Déclaration consignée dans une Note verbale de la Représentation permanente de l'Allemagne, du 26 février 2003, confirmant la déclaration faite lors de la signature le 8 novembre 2001, remise au secrétaire général du Conseil de l'Europe lors du dépôt de l'instrument de ratification, le 12 mars 2003 -Original en anglais/allemand. L'article 1, paragraphe 3, du Protocole additionnel (de même que l'alinéa deuxième de son Préambule) dispose que les autorités de contrôle exercent leurs fonctions en toute indépendance. La République fédérale d'Allemagne rappelle la déclaration qu'elle a faite lors de la réunion du 6 au 8 juin 2000 du Comité consultatif, institué en vertu de l'article 18 de la Convention pour la protection des personnes à l'égard du traitement automatisé des données, selon laquelle la pratique existante de contrôle de la protection des données en Allemagne est conforme aux dispositions de l'article 1, paragraphe 3, du Protocole additionnel, puisque les autorités de contrôle responsables de la protection des données -bien qu'intégrées dans une structure administrative de type hiérarchique- exercent leurs fonctions en toute indépendance. Date d'effet : 1/7/2004 Déclaration antérieure relative aux articles : 1 Pays-Bas Déclaration consignée dans l'instrument d'acceptation déposé le 8 septembre 2004 -Original en anglais. Le Royaume des Pays-Bas accepte le Protocole pour le Royaume en Europe. Date d'effet : 1/1/2005 Déclaration antérieure relative aux articles : Royaume-Uni Déclaration consignée dans une lettre du représentant permanent du Royaume-Uni, du 8 novembre 2001, remise au secrétaire général du Conseil de l'Europe lors de la signature de l'instrument, le 8 novembre 2001 -Original en anglais. Le Gouvernement du Royaume-Uni déclare que la signature par le Royaume-Uni du Protocole additionnel s'étend aux Bailliages de Jersey et de Guernesey ainsi qu'à l'Île de Man, territoires dont le Royaume-Uni assure les relations internationales. Déclaration antérieure relative aux articles : Déclarations de la Principauté d'Andorre Déclaration relative à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, faite à Strasbourg le 28 janvier 1981 Conformément à l'article 3, paragraphe 2, lettre a, de la Convention, la Principauté d'Andorre déclare qu'elle n'applique pas la Convention aux données personnelles des catégories suivantes :

a) Données personnelles relatives à la sécurité de l'État et à la recherche et à la prévention des infractions pénales.

b) Données de personnes physiques liées à leur activité entrepreneuriale, professionnelle et commerciale.

c) Registres publics expressément régis par la loi en Andorre, par la réglementation applicable au secret bancaire et par les normes régissant le secret professionnel.

Conformément à l'article 3, paragraphe 2, lettre b, de la Convention, la Principauté d'Andorre déclare qu'elle applique la Convention aux fichiers de données à caractère personnel qui ne font pas l'objet d'un traitement automatisé et qui sont visés par la législation interne andorrane.

Conformément à l'article 13, paragraphe 2, de la Convention, la Principauté d'Andorre désigne comme autorité compétente pour mener à bien les missions de coopération entre les parties : Agència Andorrana de Protecció de Dades C/ Prat de la Creu, 59-65, AD 500 Andorra la Vella Principauté d'Andorre Tél.

(+376) 808115 Déclaration de la Principauté d'Andorre relative au Protocole additionnel à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, concernant les autorités de contrôle et les flux transfrontières de données, fait à Strasbourg le 8 novembre 2001 Conformément au paragraphe 1 de l'article 1 du Protocole additionnel à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, concernant les autorités de contrôle et les flux transfrontières de données, la Principauté d'Andorre désigne l'Agència Andorrana de Protecció de Dades comme autorité compétente pour contrôler et veiller au respect des mesures prévues par le droit interne donnant effet aux chapitres II et III de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel.