Protocole d'amendement à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel

Préambule Les États membres du Conseil de l'Europe et les autres parties à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (STE n° 108), ouverte à la signature à Strasbourg le 28 janvier 1981 (ci-après « la Convention ») ; Compte tenu de la Décision numéro 3 sur la protection des données et la vie privée au troisième millénaire, adoptée lors de la 30e Conférence du Conseil de l'Europe des ministres de la Justice (Istanbul, Turquie, 24-26 novembre 2010) ; Compte tenu de la Décision 1843 (2011) de l'Assemblée parlementaire du Conseil de l'Europe, « La protection de la vie privée et des données à caractère personnel sur l'Internet et les médias en ligne », ainsi que de sa Décision 1986 (2014), « Améliorer la protection et la sécurité des utilisateurs dans le cyberespace » ; Compte tenu de l'Avis 296 (2017), « Projet de Protocole d'amendement à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (STE n° 108) et son rapport explicatif », adopté par la commission permanente, agissant au nom de l'Assemblée parlementaire du Conseil de l'Europe le 24 novembre 2017 ; Considérant que de nouveaux défis sont apparus en matière de protection des personnes à l'égard du traitement des données à caractère personnel depuis l'adoption de la Convention ; Considérant la nécessité de veiller à ce que la Convention continue de remplir son rôle primordial en matière de protection des personnes à l'égard du traitement des données à caractère personnel, ainsi que, plus généralement, pour la protection des droits de l'homme et des libertés fondamentales ; Sont convenus de ce qui suit :

Article 1.

1. Le premier paragraphe du préambule de la Convention est remplacé comme suit : « Les États membres du Conseil de l'Europe et les autres signataires de la présente Convention […]. »

2. Le troisième paragraphe du préambule de la Convention est remplacé comme suit : « Considérant qu'il est nécessaire de garantir la dignité humaine ainsi que la protection des droits de l'homme et des libertés fondamentales de toute personne et, eu égard à la diversification, à l'intensification et à la mondialisation des traitements de données et des flux de données à caractère personnel, l'autonomie personnelle, fondée sur le droit de toute personne de contrôler ses propres données à caractère personnel et le traitement qui en est fait […]. »

3. Le quatrième paragraphe de la Convention est remplacé comme suit : « Rappelant que le droit à la protection des données à caractère personnel doit être considéré au regard de sa finalité dans la société et qu'il doit être concilié avec d'autres droits de l'homme et les libertés fondamentales, tels que la liberté d'expression […]. »

4. Le paragraphe suivant est ajouté à la Convention après le quatrième paragraphe du préambule : « Considérant que la présente Convention permet de prendre en compte, dans la mise en œuvre des règles qu'elle établit, le principe du droit d'accès aux documents officiels […]. »

5. Le paragraphe cinquième du préambule de la Convention est supprimé. Y sont ajoutés les nouveaux paragraphes cinquième et sixième suivants : « Reconnaissant la nécessité de promouvoir les valeurs fondamentales du respect de la vie privée et de la protection des données à caractère personnel à l'échelle mondiale, favorisant ainsi la libre circulation de l'information entre les peuples […]. » « Reconnaissant l'intérêt de renforcer la coopération internationale entre les parties à la Convention […]. »

Article 2.

La rédaction de l'article 1 de la Convention est remplacée comme suit : « La présente Convention a pour objet de protéger toute personne physique, quelle que soit sa nationalité ou sa résidence, à l'égard du traitement des données à caractère personnel, contribuant ainsi au respect de ses droits de l'homme et de ses libertés fondamentales, et notamment du droit à la vie privée. »

Article 3.

1. La lettre b de l'article 2 de la Convention est remplacée comme suit : «

b) on entend par traitement de données toute opération ou tout ensemble d'opérations effectuées sur des données à caractère personnel, telles que la collecte, l'enregistrement, la conservation, la modification, l'extraction, la communication, la mise à disposition, l'effacement ou la destruction des données, ou l'application d'opérations logiques ou arithmétiques à ces données […]. »

2. La rédaction de la lettre c de l'article 2 de la Convention est remplacée comme suit : «

c) lorsqu'aucun traitement automatisé n'est utilisé, le traitement de données désigne une opération ou des opérations effectuées sur des données à caractère personnel au sein d'un ensemble structuré de données qui sont accessibles ou peuvent être retrouvées selon des critères spécifiques […]. »

3. La lettre d de l'article 2 de la Convention est remplacée de la manière suivante : «

d) responsable du traitement : la personne physique ou morale, l'autorité publique, le service, l'agence ou tout autre organisme qui, seul ou conjointement avec d'autres, dispose du pouvoir de décision à l'égard du traitement de données […]. »

4. Les nouveaux paragraphes suivants sont ajoutés à la Convention après la lettre d de l'article 2 : «

e) destinataire : la personne physique ou morale, l'autorité publique, le service, l'agence ou tout autre organisme à qui ces données sont communiquées ou pour qui ces données sont accessibles ;

f) sous-traitant : la personne physique ou morale, l'autorité publique, le service, l'agence ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. »

Article 4.

1. La rédaction du paragraphe 1 de l'article 3 de la Convention est remplacée comme suit : «

1. Chaque partie s'engage à appliquer la présente Convention aux traitements de données relevant de sa juridiction dans les secteurs public et privé, garantissant ainsi à toute personne le droit à la protection de ses données à caractère personnel. »

2. La rédaction du paragraphe 2 de l'article 3 de la Convention est remplacée comme suit : «

2. La présente Convention ne s'applique pas au traitement de données effectué par une personne dans le cadre d'activités exclusivement personnelles ou domestiques. »

3. Les paragraphes 3 à 6 de l'article 3 de la Convention sont supprimés.

Article 5.

Le titre du chapitre deuxième de la Convention est modifié comme suit : «

Article 6.

1. Le libellé du paragraphe 1 de l'article 4 de la Convention est remplacé comme suit : «

1. Chaque partie prend, dans son droit, les mesures nécessaires pour donner effet aux dispositions de la présente Convention et en assurer l'application effective. »

2. Le libellé du paragraphe 2 de l'article 4 de la Convention est remplacé comme suit : «

2. Ces mesures doivent être effectives pour chaque partie et doivent être en vigueur au moment de la ratification ou de l'adhésion à la présente Convention. »

3. Un nouveau paragraphe est ajouté à la Convention après le paragraphe 2 de l'article 4 : «

3. Chaque partie s'engage :

a) à permettre au Comité de la Convention prévu au chapitre VI d'évaluer l'efficacité des mesures qu'elle a prises dans son droit pour donner effet aux dispositions de la présente Convention et

b) à contribuer activement à ce processus d'évaluation. »

Article 7.

1. Le titre de l'article 5 de la Convention est modifié et se lit comme suit : « Article 5. Légitimité du traitement de données et qualité des données. »

2. Le libellé de l'article 5 de la Convention est remplacé comme suit : «

1. Le traitement de données doit être proportionné à la finalité légitime poursuivie et doit refléter à chaque étape du traitement un juste équilibre entre tous les intérêts en présence, qu'ils soient publics ou privés, ainsi que les droits et les libertés en jeu.

2. Chaque partie prévoit que le traitement de données ne peut être effectué que sur la base du consentement libre, spécifique, éclairé et non équivoque de la personne concernée ou en vertu d'autres fondements légitimes prévus par la loi.

3. Les données à caractère personnel faisant l'objet d'un traitement sont traitées de manière licite.

4. Les données à caractère personnel faisant l'objet d'un traitement doivent être :

a) traitées loyalement et de manière transparente ;

b) collectées pour des finalités explicites, déterminées et légitimes, et ne pas être traitées de manière incompatible avec ces finalités ; le traitement ultérieur à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques est compatible avec ces finalités, à condition que des garanties complémentaires s'appliquent ;

c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées ;

d) exactes et, si nécessaire, mises à jour ;

e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées. »

Article 8.

Le libellé de l'article 6 de la Convention est remplacé comme suit : «

1. Le traitement : - de données génétiques ; - de données à caractère personnel concernant des infractions, des procédures et des condamnations pénales, et des mesures de sûreté connexes ; - de données biométriques identifiant un individu de façon unique ; - de données à caractère personnel pour les informations qu'elles révèlent sur l'origine raciale ou ethnique, les opinions politiques, l'appartenance syndicale, les convictions religieuses ou autres convictions, la santé ou la vie sexuelle ; n'est autorisé que lorsque des garanties appropriées sont prévues par la loi et viennent compléter celles de la présente Convention.

2. Ces garanties doivent permettre de prévenir les risques que le traitement de données sensibles peut présenter pour les intérêts, les droits et les libertés fondamentales de la personne concernée, notamment un risque de discrimination. »

Article 9.

1. Le libellé de l'article 7 de la Convention est remplacé comme suit : «

1. Chaque partie prévoit que le responsable du traitement, ainsi que, le cas échéant, le sous-traitant, prend des mesures de sécurité appropriées contre les risques tels que l'accès accidentel ou non autorisé aux données à caractère personnel, et la destruction, la perte, l'utilisation, la modification ou la divulgation des données.

2. Chaque partie prévoit que le responsable du traitement doit notifier, dans les meilleurs délais, à l'autorité de contrôle compétente au sens de l'article 15 de la présente Convention, les violations de données susceptibles de porter gravement atteinte aux droits et libertés fondamentales des personnes intéressées. »

Article 10.

1. Un nouvel article 8 est introduit dans la Convention après l'article 7 : « Article 8. Transparence du traitement

1. Chaque partie prévoit que le responsable du traitement informe les personnes concernées :

a) de son identité et de sa résidence ou de son lieu d'établissement habituels ;

b) de la base légale et des finalités du traitement envisagé ;

c) des catégories de données à caractère personnel traitées ;

d) le cas échéant, des destinataires ou des catégories de destinataires de données à caractère personnel, et

e) des moyens d'exercer les droits énoncés à l'article 9, ainsi que de toute autre information complémentaire appropriée pour garantir un traitement loyal et transparent des données à caractère personnel.

2. Le paragraphe 1 ne s'applique pas lorsque la personne concernée dispose déjà de l'information.

3. Lorsque les données à caractère personnel ne sont pas collectées directement auprès des personnes, le responsable du traitement n'est pas tenu de fournir ces informations lorsque le traitement est expressément prévu par la loi ou que cela lui est impossible ou implique des efforts disproportionnés. »

Article 11.

1. L'ancien article 8 devient l'article 9 de la Convention et son titre est modifié comme suit : « Article 9. Droits des personnes. »

2. Le texte de l'article 8 de la Convention (nouvel article 9) est remplacé comme suit : «

1. Toute personne a le droit :

a) de ne pas être soumise à une décision l'affectant de manière significative, qui serait prise uniquement sur le fondement d'un traitement automatisé de données, sans que son point de vue soit pris en compte ;

b) d'obtenir, à sa demande, à intervalle raisonnable et sans délai ou dépenses excessifs, la confirmation d'un traitement de données la concernant, la communication sous une forme intelligible des données traitées, et toute information disponible relative à leur origine et à la durée de leur conservation, ainsi que toute autre information que le responsable du traitement doit fournir au titre de la transparence des traitements, conformément à l'article 8, paragraphe 1 ;

c) d'obtenir, à sa demande, connaissance du raisonnement qui sous-tend le traitement de données, lorsque les résultats de ce traitement lui sont appliqués ;

d) de s'opposer à tout moment, pour des raisons tenant à sa situation, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement, sauf si le responsable du traitement démontre des motifs légitimes justifiant le traitement et prévalant sur les intérêts ou les droits et libertés fondamentales de la personne concernée ;

e) d'obtenir, à sa demande, sans dépenses et sans délais excessifs, la rectification de ses données ou, le cas échéant, leur effacement lorsqu'elles sont ou ont été traitées en violation des dispositions de la présente Convention ;

f) de disposer d'un recours, conformément à l'article 12, lorsque ses droits prévus par la présente Convention ont été violés ;

g) de bénéficier, quelle que soit sa nationalité ou sa résidence, de l'assistance d'une autorité de contrôle dans les conditions de l'article 15 pour l'exercice de ses droits prévus par la présente Convention.

2. Le paragraphe 1. a ne s'applique pas si la décision est autorisée par une loi à laquelle est soumis le responsable du traitement et qui prévoit également des mesures appropriées pour la sauvegarde des droits, des libertés et des intérêts légitimes de la personne concernée. »

Article 12.

Il est inséré un nouvel article 10, après le nouvel article 9 de la Convention, intitulé et rédigé comme suit : « Article 10. Obligations complémentaires

1. Chaque partie prévoit que les responsables du traitement et, le cas échéant, les sous-traitants doivent prendre toutes les mesures appropriées afin de se conformer aux obligations de la présente Convention et de pouvoir démontrer, sans préjudice de la législation interne adoptée conformément à l'article 11, paragraphe 3, notamment à l'autorité de contrôle compétente prévue à l'article 15, que le traitement dont ils sont responsables est conforme aux dispositions de la présente Convention.

2. Chaque partie prévoit que les responsables du traitement et, le cas échéant, les sous-traitants doivent procéder, préalablement au début de tout traitement, à l'évaluation de l'impact potentiel du traitement de données envisagé sur les droits et libertés fondamentales des personnes concernées, et doivent concevoir le traitement de données de manière à prévenir ou à minimiser les risques d'atteinte aux droits et libertés fondamentales des personnes concernées.

3. Chaque partie prévoit que les responsables du traitement et, le cas échéant, les sous-traitants doivent prendre les mesures techniques et organisationnelles tenant compte des implications du droit à la protection des données à caractère personnel à toutes les étapes du traitement de données.

4. Chaque partie peut adapter, eu égard aux risques susceptibles d'exister pour les intérêts, les droits et libertés fondamentales des personnes concernées, l'application des dispositions des paragraphes 1, 2 et 3 dans la loi donnant effet aux dispositions de la présente Convention, en fonction de la nature et du volume des données, de la nature, de la portée et de la finalité du traitement et, le cas échéant, de la taille des responsables du traitement et des sous-traitants. »

Article 13.

Les anciens articles 9 à 12 de la Convention deviennent les articles 11 à 14 de la Convention.

Article 14.

Le texte de l'article 9 de la Convention (nouvel article 11) est remplacé comme suit : «

1. Aucune exception n'est admise aux dispositions énoncées au présent chapitre, sauf aux dispositions de l'article 5, paragraphe 4 ; de l'article 7, paragraphe 2 ; de l'article 8, paragraphe 1, et de l'article 9, pour autant qu'une telle exception soit prévue par la loi, qu'elle respecte l'essence des droits et libertés fondamentales et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique :

a) pour la protection de la sécurité nationale, la défense, la sûreté publique, les intérêts économiques et financiers importants de l'État, l'impartialité et l'indépendance de la justice ou la prévention, la recherche et la répression des infractions pénales et l'exécution des sanctions pénales, ainsi que d'autres objectifs essentiels d'intérêt public général ;

b) pour la protection de la personne concernée ou des droits et libertés fondamentales de tiers, notamment la liberté d'expression.

2. Des restrictions à l'exercice des dispositions prévues aux articles 8 et 9 peuvent être prévues par la loi en ce qui concerne le traitement des données utilisées à des fins archivistiques dans l'intérêt public ou à des fins de recherche scientifique ou historique, ou à des fins statistiques, lorsqu'il n'existe aucun risque identifiable d'atteinte aux droits et libertés fondamentales des personnes concernées.

3. Outre les exceptions prévues au paragraphe 1 du présent article, relatives aux activités de traitement à des fins de sécurité nationale et de défense, chaque partie peut prévoir par une loi, et uniquement dans la mesure où cela constitue une mesure nécessaire et proportionnée dans une société démocratique à cette fin, des exceptions à l'article 4, paragraphe 3 ; à l'article 14, paragraphes 5 et 6, et à l'article 15, paragraphe 2, lettres a , b , c et d . Ceci sans préjudice de l'exigence que les activités de traitement à des fins de sécurité nationale et de défense fassent l'objet d'un contrôle et d'une supervision indépendants et effectifs selon la législation nationale de chaque partie. »

Article 15.

Le texte de l'article 10 de la Convention (nouvel article 12) est remplacé comme suit : « Chaque partie s'engage à établir des sanctions et des recours juridictionnels et non juridictionnels appropriés visant les violations des dispositions de la présente Convention. »

Article 16.

Le titre du chapitre III est modifié et est rédigé comme suit : «

Article 17.

1. Le titre de l'article 12 de la Convention (nouvel article 14) est modifié et est rédigé comme suit : « Article 14. Flux transfrontières de données à caractère personnel ».

2. La rédaction de l'article 12 de la Convention (nouvel article 14) est remplacée comme suit : «

1. Une partie ne peut pas, aux seules fins de la protection des données à caractère personnel, interdire ou soumettre à une autorisation spéciale le transfert de ces données à un destinataire relevant de la juridiction d'une autre partie à la Convention. Cette partie peut toutefois agir ainsi lorsqu'il existe un risque réel et sérieux que le transfert à une autre partie, ou de cette autre partie à une non-partie, conduise à contourner les dispositions de la Convention. Une partie peut également agir de la sorte lorsqu'elle doit respecter les règles de protection harmonisées communes aux États appartenant à une organisation internationale régionale.

2. Dans le cas où le destinataire relève de la juridiction d'un État ou d'une organisation internationale qui n'est pas partie à la présente Convention, le transfert de données à caractère personnel n'est possible que si un niveau de protection approprié fondé sur les dispositions de la présente Convention est garanti.

3. Un niveau de protection des données approprié peut être garanti par :

a) les règles de droit de cet État ou de cette organisation internationale, y compris les traités ou accords internationaux applicables ;

b) des garanties ad hoc ou standardisées agréées, établies au moyen d'instruments juridiquement contraignants et opposables, adoptés et mis en œuvre par les personnes impliquées dans le transfert et le traitement ultérieur des données.

4. Sans préjudice des modalités prévues aux paragraphes précédents, chaque partie peut prévoir que le transfert de données à caractère personnel peut avoir lieu :

a) si la personne concernée a donné son consentement explicite, spécifique et libre, après avoir été informée des risques induits en l'absence de garanties appropriées ;

b) si les intérêts spécifiques de la personne concernée le requièrent dans un cas particulier ;

c) si des intérêts légitimes prépondérants, en particulier des intérêts publics importants, sont prévus par la loi et si ce transfert constitue une mesure nécessaire et proportionnée dans une société démocratique ;

d) si ce transfert constitue une mesure nécessaire et proportionnée dans une société démocratique pour la liberté d'expression.

5. Chaque partie prévoit que l'autorité de contrôle compétente, telle que prévue à l'article 15 de la présente Convention, obtienne toute information pertinente relative aux transferts de données prévus au paragraphe 3, lettre b , et, sur demande, au paragraphe 4, lettres b et c .

6. Chaque partie prévoit également que l'autorité de contrôle puisse exiger de la personne qui transfère les données qu'elle démontre l'effectivité des garanties prises ou l'existence d'intérêts légitimes prépondérants et qu'elle puisse, pour protéger les droits et les libertés fondamentales des personnes concernées, interdire ou suspendre les transferts ou soumettre à conditions lesdits transferts de données. »

3. La rédaction de l'article 12 de la Convention (nouvel article 14) intègre les dispositions de l'article 2 du Protocole additionnel de l'année 2001 (STE n° 181) concernant les autorités de contrôle et les flux transfrontières de données, relatif aux flux transfrontières de données à caractère personnel vers un destinataire qui n'est pas soumis à la juridiction d'une partie à la Convention.

Article 18.

Un nouveau chapitre IV a été ajouté après le chapitre III de la Convention, avec le titre suivant : «

Article 19.

Un nouvel article 15 intègre les dispositions de l'article 1 du Protocole additionnel de 2001 (STE n° 181) et est rédigé comme suit : « Article 15. Autorités de contrôle

1. Chaque partie prévoit qu'une ou plusieurs autorités sont chargées de veiller au respect des dispositions de la présente Convention.

2. À cet effet, les autorités :

a) disposent de pouvoirs d'investigation et d'intervention ;

b) exercent les fonctions en matière de transferts de données prévues à l'article 14, notamment l'approbation de garanties standardisées ;

c) disposent du pouvoir de prendre des décisions relatives aux violations des dispositions de la présente Convention et peuvent, notamment, infliger des sanctions administratives ;

d) disposent de la capacité d'ester en justice ou de porter à la connaissance de l'autorité judiciaire compétente les violations des dispositions de la présente Convention ;

e) sont chargées :

i) de sensibiliser le public à leurs fonctions et à leurs pouvoirs, ainsi qu'à leurs activités ; ii) de sensibiliser le public aux droits des personnes concernées et à l'exercice de leurs droits ; iii) de sensibiliser les responsables du traitement et les sous-traitants aux responsabilités qui leur incombent en vertu de la présente Convention ; Une attention particulière est portée au droit à la protection des données des enfants et des autres personnes vulnérables.

3. Les autorités de contrôle compétentes sont consultées sur toute proposition législative ou administrative impliquant des traitements de données à caractère personnel.

4. Chaque autorité de contrôle compétente traite les demandes et les plaintes introduites par les personnes concernées au sujet de leurs droits à la protection des données et informent ces personnes des résultats.

5. Les autorités de contrôle agissent avec indépendance et impartialité dans l'accomplissement de leurs fonctions et dans l'exercice de leurs pouvoirs et, à ce titre, ne sollicitent ni n'acceptent d'instructions.

6. Chaque partie garantit que les autorités de contrôle disposent des ressources nécessaires à l'accomplissement effectif de leurs fonctions et à l'exercice de leurs pouvoirs.

7. Chaque autorité de contrôle prépare et publie un rapport d'activités de manière périodique.

8. Les membres et agents des autorités de contrôle sont soumis à l'obligation de confidentialité à l'égard des informations confidentielles auxquelles ils ont ou ont eu accès dans l'accomplissement de leurs fonctions et l'exercice de leur pouvoir.

9. Les décisions des autorités de contrôle peuvent faire l'objet d'un recours juridictionnel.

10. Les autorités de contrôle ne sont pas compétentes à l'égard des traitements effectués par des organes dans l'exercice de leurs fonctions juridictionnelles. »

Article 20.

1. Les chapitres IV à VII de la Convention reçoivent une nouvelle numérotation et deviennent les chapitres V à VIII de la Convention.

2. Le titre du chapitre V est modifié et est rédigé comme suit : «

Article 21.

1. Le titre de l'article 13 de la Convention (nouvel article 16) est modifié et est désormais rédigé comme suit : « Article 16. Désignation des autorités de contrôle. »

2. Le paragraphe 1 de l'article 13 de la Convention (nouvel article 16) est remplacé comme suit : «

1. Les parties s'engagent à s'accorder mutuellement assistance pour l'application de la présente Convention. »

3. Le paragraphe 2 de l'article 13 de la Convention (nouvel article 16) est remplacé et est rédigé comme suit : «

2. À cette fin :

a) chaque partie désigne une ou plusieurs autorités de contrôle, au sens de l'article 15 de la présente Convention, et communique leur dénomination et leur adresse au Secrétaire général du Conseil de l'Europe

b) chaque partie qui a désigné plusieurs autorités de contrôle indique, dans la communication visée au paragraphe précédent, la compétence de chacune de ces autorités. »

4. Le paragraphe 3 de l'article 13 de la Convention (nouvel article 16) est supprimé.

Article 22.

Un nouvel article 17 est introduit dans la Convention après le nouvel article 16, intitulé et rédigé comme suit : « Article 17. Formes de coopération

1. Les autorités de contrôle coopèrent entre elles dans la mesure nécessaire à l'accomplissement de leurs missions et à l'exercice de leurs pouvoirs, notamment :

a) en s'accordant une assistance mutuelle par l'échange d'informations pertinentes et utiles et en coopérant entre elles, sous réserve que, en ce qui concerne la protection des données à caractère personnel, toutes les règles et garanties de la présente Convention soient respectées ;

b) en coordonnant leurs investigations ou interventions, ou en menant des actions conjointes ;

c) en fournissant des informations et des documents sur leur droit et leur pratique administrative en matière de protection des données.

2. Les informations visées au paragraphe 1 n'incluent pas les données à caractère personnel faisant l'objet d'un traitement, à moins que ces données ne soient essentielles à la coopération ou que la personne concernée n'ait donné son consentement explicite, spécifique, libre et éclairé à cet effet.

3. Afin d'organiser leur coopération et d'exercer les missions prévues aux paragraphes précédents, les autorités de contrôle des parties se constituent en réseau. »

Article 23.

1. Le titre de l'article 14 de la Convention (nouvel article 18) est modifié et est rédigé comme suit : « Article 18. Assistance aux personnes concernées. »

2. Le texte de l'article 14 de la Convention (nouvel article 18) est remplacé comme suit : «

1. Chaque partie prête assistance à toute personne concernée, quelle que soit sa nationalité ou sa résidence, pour l'exercice des droits énoncés à l'article 9 de la présente Convention.

2. Lorsque cette personne réside sur le territoire d'une autre partie, elle doit avoir la faculté de présenter sa demande par l'intermédiaire de l'autorité de contrôle désignée par cette partie.

3. La demande d'assistance doit contenir toutes les indications nécessaires concernant notamment :

a) le nom, l'adresse et tous autres éléments pertinents d'identification de la personne ayant formulé la demande ;

b) le traitement auquel la demande se réfère ou le responsable du traitement correspondant ;

c) l'objet de la demande. »

Article 24.

1. Le titre de l'article 15 de la Convention (nouvel article 19) est modifié et est rédigé comme suit : « Article 19. Garanties. »

2. L'article 15 de la Convention (nouvel article 19) est remplacé comme suit : «

1. Une autorité de contrôle qui a reçu des informations d'une autre autorité de contrôle, soit à l'appui d'une demande, soit en réponse à une demande qu'elle a elle-même formulée, ne pourra faire usage de ces informations à des fins autres que celles spécifiées dans la demande.

2. En aucun cas une autorité de contrôle n'est autorisée à formuler une demande au nom d'une personne concernée de sa propre initiative et sans le consentement exprès de cette personne. »

Article 25.

1. Le titre de l'article 16 de la Convention (nouvel article 20) est modifié et est rédigé comme suit : « Article 20. Refus des demandes. »

2. L'article 16 de la Convention (nouvel article 20) est remplacé comme suit : « Une autorité de contrôle saisie d'une demande d'assistance aux termes des articles 17 de la Convention ne peut refuser d'y donner suite que si […]. »

3. La lettre a de l'article 16 de la Convention (nouvel article 20) est remplacée comme suit : «

a) la demande est incompatible avec ses compétences […]. »

4. La lettre c de l'article 16 de la Convention (nouvel article 20) est remplacée comme suit : «

c) l'exécution de la demande est incompatible avec la souveraineté, la sécurité nationale ou l'ordre public de la partie qui l'a désignée, ou avec les droits et libertés fondamentales des personnes relevant de la juridiction de cette partie. »

Article 26.

1. Le titre de l'article 17 de la Convention (nouvel article 21) est remplacé comme suit : « Article 21. Dépenses et procédures. »

2. Le paragraphe 1 de l'article 17 de la Convention (nouvel article 21) est remplacé comme suit : «

1. La coopération et l'assistance mutuelle que les parties s'accordent conformément à l'article 17, ainsi que l'assistance qu'elles prêtent aux personnes concernées conformément aux articles 9 et 18, ne donnent lieu au paiement d'aucuns frais ou droits autres que ceux afférents aux experts ou aux interprètes. Ces dépenses et ces droits sont à la charge de la partie qui a formulé la demande d'assistance. »

3. Dans la version anglaise, les termes his or her remplacent his au paragraphe 2 de l'article 17 de la Convention (nouvel article 21).

Article 27.

Le titre du chapitre V de la Convention (nouveau chapitre VI) est modifié et est rédigé comme suit : «

Article 28.

1. Au paragraphe 1de l'article 18 de la Convention (nouvel article 22), les mots « Comité consultatif » sont remplacés par les mots « Comité de la Convention ».

2. Le paragraphe 3 de l'article 18 de la Convention (nouvel article 22) est remplacé comme suit : «

3. Le Comité de la Convention peut, par une décision prise à la majorité des deux tiers des représentants des parties, inviter un observateur à se faire représenter à ses réunions. »

3. Un nouveau paragraphe 4 est ajouté à la Convention après le paragraphe 3 de l'article 18 (nouvel article 22) : «

4. Toute partie qui n'est pas membre du Conseil de l'Europe contribue au financement des activités du Comité de la Convention selon les modalités établies par le Comité des Ministres en accord avec cette partie. »

Article 29.

1. Les mots « Comité consultatif » dans l'introduction de l'article 19 de la Convention (nouvel article 23) sont remplacés par les mots « Comité conventionnel ».

2. À la lettre a de l'article 19 de la Convention (nouvel article 23), le terme propositions a été remplacé par le terme recommandations .

3. Les références à « l'article 21 », à la lettre b , et à « l'article 21, paragraphe 3 », à la lettre c de l'article 19 de la Convention (nouvel article 23), sont remplacées respectivement par les références suivantes : « l'article 25 » et « l'article 25, paragraphe 3 ».

4. La lettre d de l'article 19 de la Convention (nouvel article 23) est remplacée par : «

d) peut exprimer un avis sur toute question relative à l'interprétation ou à l'application de la présente Convention […]. »

5. Les lettres suivantes ont été ajoutées après la lettre d à l'article 19 de la Convention (nouvel article 23) : «

e) formule, préalablement à toute nouvelle adhésion à la Convention, un avis destiné au Comité des Ministres relatif au niveau de protection des données à caractère personnel assuré par le candidat à l'adhésion et recommande, le cas échéant, des mesures à prendre en vue de parvenir à la conformité avec les dispositions de la présente Convention ;

f) peut évaluer, à la demande d'un État ou d'une organisation internationale, si son niveau de protection des données à caractère personnel est conforme aux dispositions de la présente Convention et recommander, le cas échéant, des mesures à prendre en vue de parvenir à ladite conformité ;

g) peut élaborer ou approuver des modèles de garanties standardisées au sens de l'article 14 ;

h) examine l'application de la présente Convention par les parties et recommande des mesures à prendre au cas où l'une des parties ne respecte pas la présente Convention ;

i) facilite, le cas échéant, le règlement amiable de toute difficulté relative à l'application de la présente Convention. »

Article 30.

Le texte de l'article 20 de la Convention (nouvel article 24) est remplacé comme suit : «

1. Le Secrétaire général du Conseil de l'Europe convoque le Comité conventionnel. La première réunion se tiendra dans le délai des douze mois suivant l'entrée en vigueur de la présente Convention. Par la suite, ils se réuniront au moins une fois par an et, en tout cas, chaque fois qu'un tiers des représentants des parties en demande la convocation.

2. À l'issue de chacune des réunions, le Comité conventionnel soumet au Comité des Ministres du Conseil de l'Europe un rapport sur ses travaux et sur le fonctionnement de la Convention.

3. Les modalités de vote au sein du Comité conventionnel sont fixées dans les éléments par le règlement intérieur annexé au Protocole STCE numéro 223.

4. Le Comité conventionnel établit les autres éléments de son règlement intérieur et fixe en particulier les procédures d'évaluation et d'examen prévues à l'article 4, paragraphe 3, et à l'article 23, lettres e , f et h , sur la base de critères objectifs. »

Article 31.

1 Les paragraphes 1 à 4 de l'article 21 de la Convention (nouvel article 25) sont remplacés de la manière suivante : «

1. Des amendements à la Convention peuvent être proposés par une partie par le Comité des Ministres du Conseil de l'Europe ou par le Comité conventionnel.

2. Toute proposition d'amendement est communiquée par le Secrétaire général du Conseil de l'Europe aux parties à la présente Convention, aux autres États membres du Conseil de l'Europe, à l'Union européenne et à chaque État non membre ou organisation internationale qui a été invité(e) à adhérer à la présente Convention conformément aux dispositions de l'article 27.

3. En outre, tout amendement proposé par une partie ou par le Comité des Ministres est communiqué au Comité conventionnel, qui soumet au Comité des Ministres son avis sur l'amendement proposé.

4. Le Comité des Ministres examine l'amendement proposé et tout avis soumis par le Comité conventionnel, et peut approuver l'amendement. »

2. Le paragraphe 7 suivant a été inséré après le paragraphe 6 à l'article 21 de la Convention (nouvel article 25) : «

7. Toutefois, le Comité des Ministres peut décider à l'unanimité, après consultation du Comité conventionnel, qu'un amendement particulier entrera en vigueur à l'expiration d'une période de trois ans à compter de la date à laquelle il a été proposé, sauf si une partie a notifié au Secrétaire général du Conseil de l'Europe une objection à l'entrée en vigueur de cet amendement. Si une objection est notifiée, l'amendement entre en vigueur le premier jour du mois suivant la date à laquelle la partie à la présente Convention qui a notifié l'objection a déposé son instrument d'acceptation auprès du Secrétaire général du Conseil de l'Europe. »

Article 32.

1. Le paragraphe 1 de l'article 22 de la Convention (nouvel article 26) est remplacé comme suit : «

1. La présente Convention est ouverte à la signature des États membres du Conseil de l'Europe et de l'Union européenne. Elle sera soumise à ratification, acceptation ou approbation. Les instruments de ratification, d'acceptation ou d'approbation seront déposés auprès du Secrétaire général du Conseil de l'Europe. »

2. Le terme État membre , au paragraphe 3 de l'article 22 de la Convention (nouvel article 26), est remplacé par partie .

Article 33.

Le titre et le libellé de l'article 23 de la Convention (nouvel article 27) sont remplacés comme suit : « Article 27. Adhésion d'États non membres ou d'organisations internationales

1. Après l'entrée en vigueur de la présente Convention, le Comité des Ministres du Conseil de l'Europe peut, après consultation des parties à la présente Convention et après en avoir obtenu l'assentiment unanime, et au vu de l'avis formulé par le Comité conventionnel conformément à l'article 23. e , inviter tout État non membre du Conseil de l'Europe ou une organisation internationale à adhérer à à la Convention par une décision prise à la majorité prévue à l'article 20. d du Statut du Conseil de l'Europe, et à l'unanimité des représentants des États contractants ayant le droit de siéger au Comité des Ministres.

2. Pour tout État ou organisation internationale adhérant à la présente Convention conformément au paragraphe 1 ci-dessus, la Convention entrera en vigueur le premier jour du mois qui suit l'expiration d'une période de trois mois à compter de la date du dépôt de l'instrument d'adhésion auprès du Secrétaire général du Conseil de l'Europe. »

Article 34.

Les paragraphes 1 et 2 de l'article 24 de la Convention (nouvel article 28) sont remplacés comme suit : «

1. Tout État, l'Union européenne ou une autre organisation internationale peut, au moment de la signature ou au moment du dépôt de son instrument de ratification, d'acceptation, d'approbation ou d'adhésion, désigner le ou les territoires auxquels s'appliquera la Convention.

2. Tout État, l'Union européenne ou une autre organisation internationale peut, à tout autre moment ultérieur, par une déclaration adressée au Secrétaire général du Conseil de l'Europe, étendre l'application de la présente Convention à tout autre territoire désigné dans la déclaration. La Convention entre en vigueur à l'égard de ce territoire le premier jour du mois suivant à compter d'une période de trois mois après la date de réception de la déclaration par le Secrétaire général. »

Article 35.

1. Dans la phrase introductive de l'article 27 de la Convention (nouvel article 31), le mot “État est remplacé par le mot partie .

2. Les références faites à la lettre c aux “articles 22, 23 et 24” sont remplacées par les références aux “articles 26, 27 et 28”.

Article 36. Signature, ratification et adhésion

1. Le présent Protocole est ouvert à la signature des États contractants de la Convention. Il est soumis à ratification, acceptation ou approbation. Les instruments de ratification, d'acceptation ou d'approbation sont déposés près le Secrétaire général du Conseil de l'Europe.

2. Après l'ouverture à la signature du présent Protocole et avant son entrée en vigueur, tout autre État exprime son consentement à être lié par le présent Protocole par voie d'adhésion. Il ne peut devenir partie à la Convention sans adhérer simultanément au présent Protocole.

Article 37. Entrée en vigueur

1. Le présent Protocole entre en vigueur le premier jour du mois qui suit l'expiration d'une période de trois mois après la date à laquelle toutes les parties à la Convention ont exprimé leur consentement à être liées par le Protocole, conformément aux dispositions du paragraphe 1 de l'article 36.

2. Dans le cas où le présent Protocole n'entre pas en vigueur conformément au paragraphe 1, à l'expiration d'une période de cinq ans après la date à laquelle il a été ouvert à la signature, le Protocole entre en vigueur à l'égard des États qui ont exprimé leur consentement à être liés par celui-ci conformément au paragraphe 1, pour autant que le Protocole compte au moins trente-huit parties. En ce qui concerne les parties au Protocole, toutes les dispositions de la Convention amendée prennent effet immédiatement après l'entrée en vigueur.

3. Dans l'attente de l'entrée en vigueur du présent Protocole, et sans préjudice des dispositions relatives à l'entrée en vigueur et à l'adhésion d'États non membres ou d'organisations internationales, une partie à la Convention peut déclarer, au moment de la signature du présent Protocole ou à tout moment ultérieur, que les dispositions du présent Protocole lui seront applicables à titre provisoire. Dans ce cas, les dispositions du présent Protocole ne s'appliqueront qu'aux parties à la Convention qui auront fait une déclaration similaire à cet effet. Cette déclaration prendra effet le premier jour du troisième mois suivant la date de sa réception par le Secrétaire général du Conseil de l'Europe.

4. À compter de la date d'entrée en vigueur du présent Protocole, le Protocole additionnel à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, concernant les autorités de contrôle et les flux transfrontières de données (STE n° 181), sera abrogé.

5. À compter de la date d'entrée en vigueur du présent Protocole, les amendements à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel approuvés par le Comité des Ministres, à Strasbourg, le 15 juin 1999, seront sans objet.

Article 38. Déclarations relatives à la Convention

À compter de la date d'entrée en vigueur du présent Protocole, pour les parties qui ont fait une ou plusieurs déclarations en vertu de l'article 3 de la Convention, cette ou ces déclarations deviendront caduques.

Article 39. Réserves

Aucune réserve n'est admise aux dispositions du présent Protocole.

Article 40. Notifications

Le Secrétaire Général du Conseil de l'Europe notifiera aux États membres du Conseil de l'Europe et à toute autre partie à la Convention :

a) toute signature ;

b) le dépôt de tout instrument de ratification, d'acceptation, d'approbation ou d'adhésion ;

c) la date d'entrée en vigueur du présent Protocole conformément à l'article 37 ;

d) tout autre acte, notification ou communication ayant trait au Protocole. En foi de quoi, les soussignés, dûment autorisés à cet effet, ont signé le présent Protocole. Strasbourg, adopté le 10 octobre 2018, en français et en anglais, les deux textes faisant également foi, en un seul exemplaire qui est déposé dans les archives du Conseil de l'Europe. Le secrétaire général du Conseil de l'Europe en communique copie certifiée conforme à chacun des États membres du Conseil de l'Europe et aux autres parties à la Convention ainsi qu'à tout État ayant été invité à adhérer à la Convention. Annexe au Protocole : Éléments pour le règlement intérieur du Comité conventionnel

1. Chaque partie a le droit de vote et dispose d'une voix.

2. La majorité des deux tiers des représentants des parties constitue le quorum nécessaire pour que le Comité conventionnel puisse se réunir. Dans le cas où le Protocole d'amendement à la Convention entre en vigueur conformément à l'article 37(2) avant son entrée en vigueur à l'égard de tous les États contractants à la Convention, le quorum nécessaire pour que le Comité conventionnel puisse se réunir est d'au moins 34 parties au Protocole.

3. Les décisions relevant du titre de l'article 23 sont prises à la majorité des quatre cinquièmes. Les décisions relevant de l'article 23, lettre h , sont prises à la majorité des quatre cinquièmes, y compris la majorité des voix des États parties non membres d'une organisation d'intégration régionale qui est partie à la Convention.

4. Lorsque le Comité conventionnel prend des décisions en vertu de l'article 23, lettre h , la partie concernée par l'examen ne vote pas. Dès lors qu'une telle décision concerne une question relevant de la compétence d'une organisation d'intégration régionale, ni l'organisation ni ses États membres ne votent.

5. Les décisions sur des questions de procédure sont prises à la majorité simple.

6. Les organisations d'intégration régionale, dans les domaines relevant de leur compétence, peuvent exercer leur droit de vote au sein du Comité conventionnel avec un nombre de voix égal au nombre de leurs États membres qui sont parties à la Convention. Une telle organisation n'exerce pas son droit de vote si l'un de ces États membres exerce le sien.

7. En cas de vote, toutes les parties doivent être informées de l'objet et du moment du vote, ainsi que du fait que le vote sera exercé par les parties individuellement ou par une organisation d'intégration régionale au nom des États membres.

8. Le Comité conventionnel peut amender ultérieurement le règlement intérieur à la majorité des deux tiers des parties, sauf les modalités de vote qui ne peuvent être amendées qu'à l'unanimité et auxquelles s'applique l'article 25 de la Convention.

État du Protocole d'amendement à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel : Situation au 8 avril 2022 : 44 États signataires et 17 États ayant ratifié le Protocole d'amendement à la Convention.

États membres du Conseil de l'Europe Signature Ratification Entrée en vigueur Allemagne 10/10/2018 05/10/2021 Autriche 10/10/2018 Belgique 10/10/2018 Bulgarie 10/10/2018 10/12/2019 Espagne 10/10/2018 28/01/2021 Estonie 10/10/2018 16/09/2020 Fédération de Russie 10/10/2018 Finlande 10/10/2018 10/12/2020 France 10/10/2018 Hongrie 09/01/2019 Irlande 10/10/2018 Islande 21/11/2018 Lettonie 10/10/2018 Lituanie 10/10/2018 23/01/2020 Luxembourg 10/10/2018 Monaco 10/10/2018 Norvège 10/10/2018 Pays-Bas 10/10/2018 Portugal 10/10/2018 République tchèque 10/10/2018 Royaume-Uni 10/10/2018 Suède 10/10/2018 Uruguay 10/10/2018 05/08/2021 Chypre 09/01/2019 21/09/2020 Albanie 28/01/2022 Andorre 28/01/2019 Arménie 02/10/2019 25/01/2022 Bosnie-Herzégovine 02/07/2020 Croatie 22/03/2019 18/12/2019 Grèce 06/09/2019 Italie 05/03/2019 08/07/2021 Liechtenstein 07/12/2020 Malte 02/07/2020 02/11/2020 Macédoine du Nord 05/12/2019 26/11/2021 Pologne 16/05/2019 10/06/2020 Roumanie 26/06/2020 09/03/2022 Saint-Marin 16/07/2019 Serbie 22/11/2019 26/05/2020 Slovaquie 17/12/2019 Slovénie 16/05/2019 Suisse 21/11/2019 Argentine 19/09/2019 Maurice 04/09/2020 04/09/2020 Tunisie 24/05/2019 Déclarations au Protocole d'amendement à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel : Situation au 8 avril 2022 : Bulgarie Déclaration consignée dans les pleins pouvoirs de signature remis au secrétaire général du Conseil de l'Europe lors de la signature de l'instrument, le 10 octobre 2018. La République de Bulgarie appliquera le présent Protocole à titre provisoire conformément à l'article 37, paragraphe 3. Norvège Déclaration consignée dans les pleins pouvoirs de signature remis au secrétaire général du Conseil de l'Europe lors de la signature de l'instrument, le 10 octobre 2018. Conformément à l'article 37, paragraphe 3, du Protocole, la Norvège appliquera les dispositions du Protocole à titre provisoire.

Lituanie Déclaration consignée dans la Note verbale du Ministère des Affaires étrangères de Lituanie accompagnant l'Instrument de ratification déposé le 23 janvier 2020. Dans l'attente de l'entrée en vigueur du Protocole, le Seimas de la République de Lituanie, conformément à l'article 37, paragraphe 3, du Protocole, déclare que la République de Lituanie appliquera les dispositions du Protocole à titre provisoire.

Espagne Déclaration consignée dans l'instrument de ratification déposé le 28 janvier 2021. La Représentation permanente du Royaume d'Espagne a l'honneur de communiquer que si le Protocole d'amendement STCE 223 était ratifié par le Royaume-Uni avec extension à Gibraltar, l'Espagne souhaiterait faire la déclaration suivante :

1. Gibraltar est un territoire non autonome dont les relations internationales relèvent de la responsabilité du Royaume-Uni et qui est soumis à un processus de décolonisation conformément aux résolutions et décisions de l'Assemblée générale des Nations Unies.

2. Les autorités de Gibraltar ont un caractère local et exercent exclusivement des compétences d'ordre interne qui trouvent leur origine fondatrice dans la répartition et l'attribution de compétences par le Royaume-Uni conformément à sa législation interne et en sa qualité d'État souverain dont dépend ce territoire non autonome.

3. En conséquence, toute participation des autorités de Gibraltar à l'application du Protocole sera entendue comme menée exclusivement dans le cadre des compétences internes de Gibraltar et ne peut être considérée comme modifiant de quelque manière que ce soit ce qui a été établi dans les deux paragraphes précédents.

4. La procédure prévue dans les Arrangements relatifs aux autorités de Gibraltar dans le contexte de certains traités internationaux, adoptés par l'Espagne et le Royaume-Uni le 19 décembre 2007, ainsi que les « Arrangements relatifs aux autorités de Gibraltar dans le contexte des instruments de l'UE et de la CE et des traités connexes », datés du 19 avril 2000, s'appliquent au présent protocole.

5. L'application du Protocole à Gibraltar ne doit pas être interprétée comme une reconnaissance d'un quelconque droit ou d'une quelconque situation concernant les aspects non couverts par l'Article X du Traité d'Utrecht du 13 juillet 1713, conclu entre les Couronnes d'Espagne et du Royaume-Uni.

Chypre Déclaration consignée dans l'instrument de ratification déposé le 21 septembre 2020. Dans l'attente de l'entrée en vigueur du Protocole et conformément à l'article 37, paragraphe 3, du Protocole, la République de Chypre déclare qu'elle appliquera les dispositions du Protocole à titre provisoire.

Estonie Déclaration consignée dans l'instrument de ratification déposé le 16 septembre 2020. Dans l'attente de l'entrée en vigueur du Protocole et conformément à l'article 37, paragraphe 3, du Protocole, la République d'Estonie déclare qu'elle appliquera les dispositions du Protocole à titre provisoire.

Finlande Déclaration consignée dans l'instrument de ratification déposé le 10 décembre 2020. La République de Finlande déclare que, aux fins de l'article 3, paragraphe 1, du Protocole, le traitement de données personnelles dans le secteur public s'entend comme incluant le traitement effectué par les autorités du gouvernement central, l'État, les entreprises, les autorités municipales et les institutions autonomes régies par le droit public, les agences opérant sous l'autorité du Parlement ou du Bureau du Président de la République, ou l'Église évangélique luthérienne de Finlande et l'Église orthodoxe de Finlande ou leurs paroisses, unions paroissiales et autres organismes.