DGPR

I. Introduction

À compter du 25 mai 2018, le Règlement général sur la protection des données (RGPD) est devenu applicable en Allemagne et dans l’ensemble des États membres de l’Union européenne. Pour assurer sa mise en œuvre, l’Allemagne a procédé à la révision de la Loi fédérale sur la protection des données (Bundesdatenschutzgesetz, BDSG).

La surveillance et l’application du RGPD en Allemagne relèvent du Commissaire fédéral à la protection des données et à la liberté d’information (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, BfDI) ainsi que des autorités de contrôle des différents Länder.

Le cadre allemand de protection des données reprend intégralement les exigences du RGPD tout en intégrant certaines dispositions spécifiques au droit national afin d’assurer un niveau élevé de protection des données personnelles.

II. Champ d’application

La réglementation allemande relative à l’application du RGPD concerne :

Les responsables du traitement (Verantwortlicher) et les sous-traitants (Auftragsverarbeiter) établis sur le territoire allemand ;

Les entités situées à l’étranger qui proposent des biens ou des services à des personnes se trouvant en Allemagne ou qui observent leur comportement sur ce territoire.

Le lieu matériel du traitement est indifférent : dès lors que des données concernant des personnes en Allemagne sont traitées, les règles s’appliquent.

Sont visés les traitements automatisés ainsi que les traitements non automatisés intégrés dans un système de fichiers structuré. Les activités strictement personnelles ou domestiques sont exclues du champ d’application.

III. Principes fondamentaux du traitement

Le traitement des données doit respecter les principes suivants :

Licéité, loyauté et transparence : toute opération de traitement doit reposer sur une base juridique valable et être clairement expliquée aux personnes concernées.

Limitation des finalités : les données ne peuvent être utilisées que pour des objectifs déterminés, explicites et légitimes.

Minimisation : seules les données nécessaires à la finalité poursuivie peuvent être collectées.

Exactitude : les informations doivent être correctes et mises à jour si nécessaire.

Limitation de la conservation : les données ne doivent pas être conservées au-delà de la durée nécessaire.

Intégrité et confidentialité : des mesures techniques et organisationnelles appropriées doivent être mises en place pour prévenir tout accès non autorisé, toute altération ou toute perte.

IV. Droits reconnus aux personnes concernées

Les personnes bénéficient des droits suivants en vertu du RGPD et du droit allemand :

Accès et information sur les données traitées ;

Rectification des données inexactes ou incomplètes ;

Effacement des données lorsque les conditions légales sont réunies ;

Limitation du traitement dans certaines circonstances ;

Portabilité des données dans un format structuré et réutilisable ;

Opposition au traitement fondé sur l’intérêt légitime ou public ;

Garanties spécifiques en cas de décision automatisée, y compris le droit à une intervention humaine.

Pour les mineurs de moins de 16 ans, le traitement nécessite le consentement des titulaires de l’autorité parentale, et les informations doivent être formulées de manière claire et compréhensible.

V. Obligations des acteurs du traitement

Le sous-traitant agit uniquement sur instruction écrite du responsable du traitement.

Il met en œuvre des mesures de sécurité adaptées au niveau de risque.

Il assiste le responsable dans le respect de ses obligations légales.

En cas de violation de données, il informe sans délai le responsable, lequel notifie l’autorité compétente dans un délai de 72 heures.

Le responsable tient un registre des traitements et réalise, lorsque cela est requis, une analyse d’impact relative à la protection des données.

Dans certains cas, la désignation d’un délégué à la protection des données est obligatoire.

VI. Transferts vers des pays tiers

Tout transfert de données vers un pays situé hors de l’Union européenne doit garantir un niveau de protection adéquat, notamment au moyen d’une décision d’adéquation, de clauses contractuelles types ou d’un autre mécanisme autorisé par le RGPD.

Depuis l’invalidation du mécanisme « Privacy Shield » en juillet 2020, les entreprises doivent recourir aux clauses contractuelles types actualisées de juin 2021 ou à une autre base légale valable.

VII. Autorités de contrôle et sanctions

Les autorités allemandes disposent de pouvoirs étendus pour contrôler et sanctionner les manquements : avertissements, injonctions, restrictions ou interdictions de traitement et amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

Le droit allemand prévoit également la possibilité pour une personne de formuler des directives explicites concernant le traitement de ses données, y compris après son décès. À défaut d’instructions, le traitement doit rester conforme aux exigences légales.

L’ensemble de ce dispositif vise à assurer une protection effective des données personnelles, à renforcer la conformité des organisations et à consolider la confiance dans l’environnement numérique.