Libre flux des données à caractère non personnel

Si vous êtes un particulier, une entreprise ou une organisation, vous avez le droit d’utiliser, de recueillir, de stocker, de transférer ou de gérer des données à caractère non personnel et de recourir à des centres de données et des services en nuage partout dans l’Union européenne.

Cela peut vous aider à éviter des coûts superflus. Par exemple, vous pouvez centraliser votre infrastructure informatique dans un pays de l’UE, même si vous exercez votre activité dans plusieurs pays.

Données à caractère personnel et non personnel et ensembles de données mixtes

Les données à caractère personnel sont toutes les informations relatives à une personne identifiée ou identifiable et conformes aux règles du RGPD.

Les ensembles de données à caractère non personnel sont des données qui:

• ne concernent pas une personne physique identifiée ou identifiable, telles que les données relatives aux conditions météorologiques;
• étaient initialement des données à caractère personnel, mais qui ont été rendues anonymes par la suite et qui ne peuvent en aucun cas être attribuées à une personne spécifique.

Les ensembles de données mixtes sont des recueils de données à caractère personnel et non personnel, telles que le dossier fiscal d’une entreprise, mentionnant le nom et le numéro de téléphone du directeur général de l’entreprise. Dans la plupart des cas, les données à caractère personnel et non personnel contenues dans les ensembles de données mixtes sont indissociables. Si vous traitez de tels ensembles de données mixtes, vous devez respecter les règles du RGPD.

Vous pouvez stocker vos données partout dans l’UE, y compris sur des serveurs en nuage

Sauf dans les cas exceptionnels expliqués ci-dessous, vous pouvez choisir le lieu où vos données sont stockées ou traitées.

Si vous utilisez un service en nuage pour stocker vos données, les règles de l’UE en matière de données garantissent que:

• vous pouvez facilement changer de fournisseur de services en nuage ou rétablir vos données dans vos propres systèmes informatiques.
• Les fournisseurs doivent fournir vos données dans un format couramment utilisé et lisible par machine et ne peuvent pas créer d’obstacles au changement de fournisseur.
• Si vous utilisez des infrastructures services (IaaS), le nouveau prestataire doit fournir des résultats comparables en ce qui concerne les fonctionnalités partagées, de sorte que vos applications continuent de fonctionner.
• Les fournisseurs peuvent facturer des coûts limités pour le changement de fournisseur et la sortie de données d’un service en nuage (frais de transfert). Ce qu’ils peuvent facturer est limité au montant qu’ils dépensent eux-mêmes pour permettre le changement de fournisseur ou la sortie d’un client.

Restrictions en matière de localisation des données dans l’UE

Dans des cas exceptionnels, les pays de l’UE peuvent limiter la circulation de certaines données, mais uniquement si des raisons de sécurité publique le justifient. Tel est le cas, par exemple, lorsque des données se rapportent à des enquêtes antiterroristes en cours ou lorsqu’une perte de données risquerait de causer un accident majeur de la circulation (par exemple, pour les données relatives au contrôle du trafic aérien). Ces exceptions dépendent de la législation nationale. Le règlement de l’UE sur la libre circulation des données à caractère non personnel donne accès aux informations relatives à ces restrictions de localisation des données.

Partage de données avec les autorités compétentes

Vous devez rendre vos données disponibles si une autorité compétente introduit une demande légitime d’accès à ces données, même si celles-ci sont gérées ou stockées dans un autre pays de l’UE. Des sanctions peuvent être prévues par la législation nationale en cas de non-respect.

Informations et points de contact nationaux

Les règles de l’UE sur la libre circulation des données à caractère non personnel définissent deux points d’information que les pays de l’UE doivent fournir:

• le «point d’information unique»: un site web officiel contenant des informations nationales sur les restrictions et les exigences en matière de localisation des données;
• le «point de contact unique»: une adresse physique et/ou électronique que vous pouvez utiliser pour obtenir de plus amples informations.

Vous trouverez ces informations dans la section Contacter les administrations nationales ci-dessous.