La Convention 108 est un traité du Conseil de l'Europe ouvert aux Etats qui y adhèrent. La directive 95/46/CE était un acte de l'Union européenne que ses Etats membres devaient transposer. Le RGPD est un règlement de l'Union européenne directement applicable depuis le 25 mai 2018. Ces trois cadres poursuivent un objectif voisin, mais ils ne sont ni interchangeables ni simultanément applicables de la même manière.
La différence essentielle en une lecture
Pour distinguer les trois textes, il faut d'abord identifier l'organisation qui les a adoptés et leur forme juridique. Le Conseil de l'Europe et l'Union européenne sont deux organisations distinctes. Cette séparation explique une grande partie des différences.
- Convention 108 : traité international adopté dans le cadre du Conseil de l'Europe et ouvert à l'adhésion d'Etats non membres sous certaines conditions.
- Directive 95/46/CE : ancienne directive de l'Union européenne, destinée aux Etats membres et nécessitant une transposition dans leurs droits nationaux.
- RGPD : règlement de l'Union européenne, obligatoire dans tous ses éléments et directement applicable dans les Etats membres.
- Point commun : ces textes encadrent le traitement des informations relatives à des personnes identifiées ou identifiables, avec des principes de licéité, de finalité, de proportionnalité et de sécurité.
La distinction entre Conseil de l'Europe et Union européenne est également utile pour comprendre la portée de la Journée des droits de l'homme. Elle évite d'attribuer à une institution un texte adopté par une autre.
Qui adopte quoi, et pour quels destinataires ?
La Convention 108 engage les Etats parties
La Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, dite Convention 108, a été ouverte à la signature en 1981. Les Etats qui y sont parties doivent donner effet à ses principes dans leur ordre juridique. Sa portée géographique n'est donc pas limitée à l'Union européenne.
Elle constitue un socle international applicable aux secteurs public et privé selon les modalités prévues par les Etats. Son origine et sa portée juridique sont présentées plus précisément dans le dossier consacré à l'histoire de la Convention 108.
La directive de 1995 s'adressait aux Etats membres de l'Union
Une directive fixe des résultats à atteindre tout en laissant aux Etats membres le choix des formes et des moyens de transposition. La directive 95/46/CE a donc conduit à des législations nationales poursuivant des objectifs communs, mais susceptibles de présenter certaines différences.
Le RGPD s'applique directement
Le règlement général sur la protection des données, ou règlement (UE) 2016/679, n'a pas besoin d'être transposé pour produire ses règles principales. Des lois nationales peuvent toutefois le compléter lorsque le règlement prévoit des marges d'intervention nationales.
Son champ territorial peut aussi concerner certains organismes établis hors de l'Union lorsqu'ils offrent des biens ou services à des personnes qui s'y trouvent, ou suivent leur comportement dans les conditions prévues par le texte. Cette dimension transfrontière rejoint les enjeux abordés par la Journée mondiale des communications et de la société de l'information.
Une chronologie sans confusion
- 1981 : la Convention 108 est ouverte à la signature dans le cadre du Conseil de l'Europe.
- 1995 : l'Union européenne adopte la directive 95/46/CE afin de rapprocher les législations de ses Etats membres.
- 2016 : le RGPD est adopté et entre en vigueur, avec une période préparatoire.
- 25 mai 2018 : le RGPD devient applicable et remplace la directive 95/46/CE, qui est abrogée.
Le RGPD n'a donc pas abrogé la Convention 108. Il a remplacé la directive de 1995 dans l'ordre juridique de l'Union, tandis que la convention continue d'exister dans l'ordre international. La modernisation de la Convention 108, couramment appelée Convention 108+, vise à actualiser ce cadre face aux évolutions technologiques.
Le RGPD succède à la directive de 1995, mais il coexiste avec la Convention 108.
Cette chronologie permet aussi d'analyser des services apparus à différentes périodes, de Facebook aux outils associés à ChatGPT, sans appliquer rétroactivement au passé un texte devenu applicable plus tard.
Quel texte retenir selon la situation ?
Ce tableau décisionnel sous forme de liste aide à choisir le bon cadre de référence :
- Un traitement actuel relevant du droit de l'Union européenne : consulter d'abord le RGPD, puis les dispositions nationales qui le complètent.
- Un fait survenu avant le 25 mai 2018 : vérifier la directive 95/46/CE et surtout la loi nationale qui l'avait transposée à la date des faits.
- Une comparaison entre des Etats européens ou non européens parties au traité : examiner la Convention 108 et les engagements acceptés par chaque Etat.
- Une question sur l'harmonisation au sein de l'Union : distinguer la logique de transposition de la directive et l'application directe du RGPD.
- Une organisation située hors de l'Union mais active sur son marché : vérifier les critères territoriaux du RGPD, sans présumer qu'ils s'appliquent automatiquement.
- Une recherche historique : ne pas citer le RGPD comme fondement juridique d'une obligation antérieure à son applicabilité.
Exemple simple : pour étudier la gestion actuelle des comptes d'un réseau social auprès d'utilisateurs dans l'Union, le RGPD est le point de départ. Pour un litige portant sur un traitement réalisé en 2010, il faut se tourner vers le droit national issu de la directive de 1995. Pour comparer les engagements internationaux de plusieurs Etats, la Convention 108 devient la référence pertinente.
Trois confusions à écarter
Protection des données et propriété intellectuelle
Le RGPD ne crée pas un droit de propriété général sur les données personnelles. Il encadre leur traitement et confère des droits aux personnes. Les droits d'auteur, brevets et marques relèvent d'autres régimes, mis en lumière par la Journée mondiale de la propriété intellectuelle.
Accès à l'information et protection des personnes
La protection des données peut devoir être conciliée avec la liberté d'expression, les archives, la transparence ou l'accès à des documents. Elle ne signifie pas que toute information concernant une personne doit être supprimée. Cette mise en balance est particulièrement importante lorsque le droit à la vérité sur les violations des droits humains est en jeu.
Une journée n'est pas une source de droit
La Journée européenne de la protection des données sensibilise à ces enjeux, mais elle ne constitue pas elle-même un cadre juridique. Les obligations proviennent des textes applicables, de leurs mesures nationales et de leur interprétation par les autorités et juridictions compétentes.
Ersilia Soudais - la Convention 108+ c'est bien, faire appliquer le RGPD déjà en France c'est mieux
Questions fréquentes
La directive 95/46/CE est-elle encore applicable ?
Elle a été abrogée lorsque le RGPD est devenu applicable le 25 mai 2018. Elle reste néanmoins pertinente pour comprendre l'ancien cadre européen et analyser des faits survenus pendant sa période d'application, avec les lois nationales qui la transposaient.
Le RGPD a-t-il remplacé la Convention 108 ?
Non. Le RGPD a remplacé la directive 95/46/CE dans le droit de l'Union européenne. La Convention 108 relève du Conseil de l'Europe et demeure un traité international distinct.
Pourquoi la directive de 1995 nécessitait-elle des lois nationales ?
Une directive oblige les Etats membres quant au résultat à atteindre, mais leur laisse le choix des formes et des moyens. Chaque Etat devait donc transposer la directive 95/46/CE dans son droit interne.
Le RGPD est-il identique dans tous les Etats membres ?
Ses règles principales sont directement applicables dans toute l'Union. Le règlement autorise cependant des précisions ou adaptations nationales dans certains domaines, ce qui impose parfois de consulter également la législation de l'Etat concerné.
La Convention 108 concerne-t-elle uniquement les pays de l'Union européenne ?
Non. Elle appartient au système du Conseil de l'Europe, qui est distinct de l'Union européenne, et son ouverture dépasse le seul espace de l'Union. Son application dépend de la participation de chaque Etat au traité.
Quel texte utiliser pour un traitement effectué en 2015 ?
Il faut en principe examiner la législation nationale applicable en 2015, notamment celle qui transposait la directive 95/46/CE. Le RGPD ne doit pas être appliqué rétroactivement à une opération achevée avant le 25 mai 2018.
À lire aussi
Exercer ses droits sur ses données personnelles : méthode et exemples
Pour exercer un droit sur vos données personnelles, adressez une demande précise au responsable du traitement, conservez une preuve de l'envoi et indiquez les informations permettant de retrouver les données concernées. Voici les étapes, formulations et recours utiles.
Data Privacy Day dans le monde : noms, acteurs et pratiques
Data Protection Day en Europe, Data Privacy Day dans une partie du monde anglophone : une même période de sensibilisation prend des formes différentes selon les langues, les institutions et les lois nationales. Autorités, écoles, associations et entreprises adaptent leurs messages aux risques et aux droits applicables localement.
Convention 108 : le texte fondateur de la protection des données
Ouverte à la signature en 1981, la Convention 108 du Conseil de l'Europe est le premier instrument international juridiquement contraignant consacré à la protection des données personnelles. Son apport tient autant à ses principes communs qu'à sa capacité à encadrer les traitements automatisés et les flux transfrontières.