1. Les États membres peuvent adopter des règles spécifiques afin de définir les pouvoirs des autorités de contrôle visés à l’article 58, paragraphe 1, points e) et f) à l’égard des responsables du traitement ou des sous-traitants qui sont soumis, en vertu du droit de l’Union ou du droit d’un État membre ou de règles arrêtées par les organismes nationaux compétents, à une obligation de secret professionnel ou à d’autres obligations de secret équivalentes, lorsque cela est nécessaire et proportionné pour concilier le droit à la protection des données à caractère personnel et l’obligation de secret. Ces règles ne sont applicables qu’en ce qui concerne les données à caractère personnel que le responsable du traitement ou le sous-traitant a reçues ou a obtenues dans le cadre d’une activité couverte par ladite obligation de secret.
Article 90 RGPD - Obligations de secret
2. Chaque État membre notifie à la Commission les règles qu’il adopte en vertu du paragraphe 1, au plus tard le 25 mai 2018, et, sans tarder, toute modification ultérieure les concernant.
Foire aux questions
Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.
Le paragraphe 1 permet aux États membres d’adopter des règles spécifiques définissant les pouvoirs des autorités de contrôle visés à l’article 58, paragraphe 1, points e) et f), à l’égard des responsables du traitement ou des sous-traitants soumis au secret professionnel ou à des obligations équivalentes. De telles règles ne sont admissibles que lorsqu’elles sont nécessaires et proportionnées pour concilier la protection des données à caractère personnel et l’obligation de secret.
Uniquement les pouvoirs d’enquête permettant d’obtenir l’accès aux données à caractère personnel et aux informations au titre de l’article 58, paragraphe 1, point e), et l’accès aux locaux, y compris aux équipements de traitement des données, au titre du point f). Les pouvoirs correcteurs de l’article 58, paragraphe 2, et les autres pouvoirs d’enquête de l’article 58, paragraphe 1, ne sont pas couverts.
Non. La seconde phrase du paragraphe 1 limite les règles nationales aux données à caractère personnel que le responsable du traitement ou le sous-traitant a reçues ou a obtenues dans le cadre d’une activité couverte par l’obligation de secret. Les données détenues en dehors de cette activité, comme les dossiers du personnel du professionnel lui-même, restent soumises à l’ensemble des pouvoirs de l’article 58.
L’obligation doit résulter du droit de l’Union ou du droit d’un État membre ou de règles arrêtées par les organismes nationaux compétents, et il doit s’agir d’une obligation de secret professionnel ou d’une obligation de secret équivalente. Un engagement de confidentialité purement contractuel n’atteint pas ce seuil.
Oui. Le paragraphe 2 imposait à chaque État membre de notifier à la Commission les règles adoptées en vertu du paragraphe 1 au plus tard le 25 mai 2018, et toute modification ultérieure les concernant doit être notifiée sans tarder.