31a CONFÉRENCE INTERNATIONALE DES COMMISSAIRES À LA PROTECTION DES DONNÉES ET DE LA VIE PRIVÉE

Connexion pour les DPAs

VERS DES NORMES INTERNATIONALES SUR LA VIE PRIVEE

Résolution sur l’urgence de protéger la vie privée dans un monde sans frontière etl’élaboration d’une proposition conjointe d’établissement de normes internationales sur la vie privée et la protection des données personnelles. Document adopté à Strasbourg, 15-17 octobre 2008.

Auteur de la proposition :

L’Agencia de Protección de Datos (Espagne) et
le Préposé fédéral à la protection des données et à la transparence (Suisse)

Coparrains :

La Commission nationale de l’Informatique et des Libertés (France)
Le Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
Le Garante per la Protezione dei Dati Personali (Italie)
L’Inspectorat d’Etat à la protection des données de la République de Lituanie
L’Office pour la protection des données de la République Tchèque
L’Autorité hellénique de protection des données
L’Autorité néerlandaise de protection des données
Le Contrôleur européen à la protection des données
L’Inspecteur général à la protection des données (Pologne)
Le Commissaire à la protection des données de l’Irlande
La Direction nationale pour la protection des données de l’Argentine
L’Agence de protection des données de la Principauté d’Andorre
L’Office du commissaire à l’information (Royaume Uni)
La Commission nationale de la protection des données (Portugal)
Le Commissaire à la vie privée de Nouvelle Zélande
Le Data Protection Commissioner of Guernsey
Le Berliner Beauftragte für Datenschutz und Informationsfreiheit
L’Agence de protection des données du Pays Basque (Espagne)
L’Agence de protection des données de la Catalogne (Espagne)
L’Agence de protection des données de Madrid (Espagne)

La Conférence rappelle que:

la déclaration adoptée à Venise lors de sa 22e Conférence ;
la résolution adoptée à Wroclaw lors de sa 26e Conférence ;
a déclaration adoptée à Montreux lors de sa 27e Conférence ;
’initiative de Londres présentée lors de sa 28e Conférence ;
la résolution adoptée lors de sa 29e Conférence ;
tendent à renforcer le caractère universel du droit à la protection des données et à la vie privée et appellent au développement d’une Convention universelle pour la protection des personnes à l’égard du traitement des données personnelles.
En particulier dans la déclaration de Montreux, la Conférence appelle l’Organisation des Nations Unies à préparer un instrument juridique contraignant énonçant en détail le droit à la protection des données et à la vie privée en tant que droits de l’homme exécutoires. La Conférence appelle également le Conseil de l’Europe, conformément à l’article 23 de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, à inviter les Etats non membres de cette organisation qui ont une législation de protection des données adéquate, à adhérer à la Convention (STE N° 108) et à son protocole additionnel (STE N° 181).
Dans la résolution de la 29e Conférence, les commissaires ont souligné la nécessité de soutenir l’élaboration de normes internationales de protection de la vie privée effectives et universellement acceptées comme un mécanisme pour aider les parties à établir et à démontrer la conformité avec les exigences légales de protection des données et de la vie privée.

La Conférence relève que des efforts encourageants ont depuis lors été entrepris en vue de réaliser ces objectifs et qu’en particulier

La question d’une Convention universelle est inscrite au programme de travail de la Commission du droit international des Nations Unies ;
Le Conseil de l’Europe est favorable à l’adhésion d’Etats non membres ayant une législation de protection des données conforme à la Convention STE N° 108 et a décidé de promouvoir l’instrument au niveau mondial ; il a ainsi rappelé la vocation potentiellement universelle de la Convention STE N° 108, notamment lors du Sommet mondial sur la Société de l’information à Tunis en novembre 2005 et dans le cadre des Forums sur la gouvernance de l’Internet à Athènes en 2006 et Rio en 2007;
L’OCDE a adopté le 12 juin 2007 une recommandation relative à la coopération transfrontière dans l’application des législations protégeant la vie privée qui tend notamment à améliorer les cadres nationaux pour l’application des lois sur la vie privée afin que les autorités nationales puissent mieux coopérer avec les autorités étrangères et à élaborer des mécanismes internationaux efficaces destinés à faciliter la coopération transfrontière pour l’application des lois sur la vie privée ;
Les conférences régionales de l’Unesco en 2005 (Asie-Pacifique) et 2007 (Europe) soulignent le caractère prioritaire de la protection des données ;
Les initiatives déployées par le groupe de l’article 29 de l’Union européenne pour faciliter la procédure d’adoption de règles d’entreprises contraignantes (BCR) et le développement de solutions contractuelles régissant l’échange transfrontières de données.
Les chefs d’Etats et de Gouvernements de la francophonie se sont engagés à l’issu de leur XIe sommet à Budapest en septembre 2006 à intensifier, sur la plan national, les travaux législatifs et réglementaires nécessaires à l’établissement du droit des personnes à la protection des données et à oeuvrer, sur le plan mondial, en faveur de l’élaboration d’une convention internationale garantissant l’effectivité du droit à la protection des données ;
L’APEC a adopté en novembre 2004 des principes directeurs de la vie privée pour renforcer la protection de la vie privée et préserver les flux d’information. En septembre 2007, l’APEC a lancé une initiative « vie privée » pour développer le cadre de mise en oeuvre afin d’assurer des flux internationaux de données certifiés qui répondent aux besoins des affaires, diminuent les coûts de conformité, offrent aux consommateurs un recours effectif, permettent aux régulateurs d’agir efficacement et minimisent la charge réglementaire ;
L’Association francophone des autorités de protection des données (AFAPDP) créée à Montréal en marge de la 29e Conférence internationale des commissaires à la protection des données et de la vie privée soutient dans ses objectifs l’élaboration d’une convention universelle et les efforts en vue de l’adhésion à la Convention STE N° 108 d’Etats non membres du Conseil de l’Europe ;
Le réseau ibéro américain de protection des données (RIPD) a adopté une déclaration à l’issue de sa 6e réunion tenue en Colombie en mai 2008 appelant les conférences internationales à la protection des données et à la vie privée à poursuivre, indépendamment de leur appartenance géographique, leurs efforts en vue de l’adoption d’un instrument juridique commun ;
Les Autorités de protection des données d’Europe central et oriental (APDCO), lors de leur dernière réunion en juin 2008 en Pologne, ont exprimé leur volonté de poursuivre et de renforcer leurs activités au sein de l’APDCO, en particulier d’élaborer des solutions communes et d’assister les nouveaux membres dans la mise en place de leur législation de protection des données.

La Conférence considère que:

le droit à la protection des données et à la vie privée est un droit fondamental des personnes indépendamment de leur nationalité et de leur domicile ;
qu’avec l’expansion de la société de l’information, le droit à la protection des données et à la vie privée est une condition indispensable dans une société démocratique pour garantir le respect des droits des personnes, la libre circulation des informations et une économie de marché ouverte ;
la globalisation des échanges et des traitements de données personnelles, la complexité des systèmes, les dommages pouvant découler d’une mauvaise utilisation de technologies de plus en plus puissantes et l’augmentation des mesures sécuritaires nécessitent une réponse rapide et adéquate pour garantir le respect des droits et libertés fondamentales et notamment le droit à la vie privée;
les disparités persistantes en matière de protection des données et de respect de la vie privée à travers le monde, notamment du fait de l’absence de garantie dans plusieurs Etats, nuit aux échanges de données personnelles et à la mise en place d’une protection des données effective et globale ;
le développement de règles internationales qui garantissent d’une façon uniforme le respect de la protection des données et de la vie privée est prioritaire ;
la reconnaissance de ces droits passe par l’adoption d’un instrument juridique universel contraignant consacrant, recensant et complétant les principes communs de protection des données et de respect de la vie privée énoncés dans différents instruments existants et renforçant la coopération internationale entre autorités de protection des données ;
La mise en oeuvre de lignes directrices développées par des organisations comme l’APEC ou l’OCDE, en particulier celles concernant l’adoption d’un cadre international en vue d’améliorer le respect des droits à la protection des données et à la vie privée lors de flux transfrontières de données est une étape positive pour atteindre cet objectif;
L’accession à des instruments contraignants de valeur universelle, tel que la Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (STE N° 108) et son protocole additionnel concernant les autorités de contrôle et les flux transfrontières de données (STE N° 181), lesquels contiennent des principes de base de la protection des données, est susceptible de faciliter les échanges de données entre Parties ; ces instruments, en effet, prévoient des mécanismes et une plateforme de coopération entre autorités de protection des données, envisagent l'établissement de ces autorités de manière à exercer leurs fonctions en toute indépendance et favorisent la mise en place d'un niveau de protection des données adéquat;
la 30e Conférence internationale de la protection des données est une instance appropriée pour adopter une stratégie visant spécifiquement à la réalisation de ces objectifs.

Par conséquent, la Conférence renouvelle son appel d’élaborer un instrument juridique universel contraignant en matière de protection des données et à la vie privée, en adoptant les résolutions suivantes :

La Conférence soutient les efforts du Conseil de l’Europe pour promouvoir le droit fondamental à la protection des données et à la vie privée. Dès lors, la Conférence invite les Etats membres de cette organisation qui ne l’ont pas encore fait à examiner la ratification de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et de son protocole additionnel ; La Conférence invite les Etats non membres en position de le faire à considérer de donner suite à l’invitation du Conseil de l’Europe d’accéder à la Convention STE N° 108 et à son protocole additionnel. Considérant sa résolution sur l’établissement d’un groupe directeur relatif à la représentation aux réunions d’organisations internationales, la Conférence souhaite également contribuer aux travaux du comité consultatif de la Convention STE N° 108.
La Conférence soutient les initiatives de l’APEC, de l’OCDE et d’autres organisations régionales et forums internationaux pour le développement de moyens effectifs de promouvoir de meilleurs standards internationaux de protection des données et de la vie privée.
La Conférence charge un groupe de travail, coordonné par l’autorité organisatrice de la 31e Conférence internationale et composé des autorités nationales de protection des données intéressées de rédiger et de soumettre à sa session fermée une proposition commune d’établissement de normes internationales sur la vie privée et la protection des données personnelles , selon les critères suivants :

de recenser les principes et les droits relatifs à la protection des données à caractère personnel dans les différents environnements géographiques du monde, en faisant en particulier référence aux textes légaux ou autres qui ont rencontrés un large degré de consensus dans les forums régionaux et internationaux;
d’élaborer un ensemble de principes et de droits qui, en reflétant et en complétant les textes existants, permet d’atteindre un degré maximum d’acceptation internationale assurant un haut niveau de protection ;
évaluer les secteurs dans lesquels ces droits et principes sont applicables, y compris les variantes qui mettent l’accent sur l’harmonisation de leurs champs d’application ;
définir, en tenant compte de la diversité des systèmes juridiques, les critères de base qui garantissent leur application effective ;
examiner le rôle que doit jouer l’auto-régulation ;
formuler des garanties essentielles pour des transferts internationaux de données meilleurs et plus souples.

Le processus de rédaction de cette proposition conjointe doit être effectué en encourageant une large participation aux groupes de travail et à des forums ou des auditions, des organisations et entités publiques ou privées, en vue d’obtenir le plus large consensus institutionnel et social. Une attention particulière devrait être accordée aux travaux en cours de l’Organisation internationale de normalisation (ISO) et de la Commission du droit international.