Champ d’application matériel et territorial EU

En bref

• En comparaison à la Directive 95/46/CE
  (la “Directive sur la protection des données personnelles”) qu’il vient remplacer, le GDPR vise à étendre la portée du champ d’application de la législation de l’UE concernant la protection des données.
  • −  Les responsables du traitement et les sous- traitants basés dans l’UE tombent dans
    son champ d’application dès lors que des données à caractère personnel sont traitées “dans le cadre de leurs activités”, ce qui peut être interprété largement.
  • −  Lorsqu’il n’y pas de présence dans l’UE, le GDPR s’appliquera dès lors que : (1) les données à caractère personnel d’un résident de l’UE sont traitées en lien avec les biens/ services qui lui sont proposés ; ou dès lors que (2) les comportements d’individus au sein de l’UE sont “suivis”.
• Malgré sa qualité de Règlement, le texte permet aux États membres de légiférer dans de nombreux domaines. Il faut s’attendre à ce que cette possibilité présente un dé quant à l’application de l’objectif de cohérence énoncé par le Règlement, notamment concernant le traitement des données des employés.
• Le GDPR ne s’applique pas à certaines activités, parmi lesquelles les traitements couverts par la Directive relative à la protection des données personnelles traitées à des ns répressives ayant pour nalité la sécurité nationale, ainsique les traitements e ectués par les personnes physiques dans le cadre d’activités exclusivement personnelles/domestiques.
• Le GDPR prendra effet le 25 mai 2018.

A faire