FR - EUR-Lex - Europa

personne concernée est donné à la suite d'une demande par voie électronique, cette
demande doit être claire, concise et ne doit pas inutilement perturber l'utilisation du
service pour lequel il est accordé.
(26) Les données à caractère personnel concernant la santé devraient comprendre, en
particulier, l'ensemble des données se rapportant à l'état de santé d'une personne
concernée; les informations relatives à l'enregistrement du patient pour la prestation de
services de santé; les informations relatives aux paiements ou à l'éligibilité du patient à
des soins de santé; un numéro ou un symbole attribué à un patient, ou des informations
détaillées le concernant, destinés à l'identifier de manière univoque à des fins
médicales; toute information relative au patient recueillie dans le cadre de la prestation
de services de santé audit patient; des informations obtenues lors d'un contrôle ou de
l'examen d'un organe ou d'une substance corporelle, y compris des échantillons
biologiques; l'identification d'une personne en tant que prestataire de soins de santé au
patient; ou toute information concernant, par exemple, une maladie, un handicap, un
risque de maladie, un dossier médical, un traitement clinique ou l'état physiologique
ou biomédical de la personne concernée, indépendamment de sa source, qu'elle
provienne par exemple d'un médecin ou d'un autre professionnel de la santé, d'un
hôpital, d'un dispositif médical ou d'une épreuve diagnostique in vitro.
(27) Le principal établissement d'un responsable du traitement ou d'un sous-traitant devrait
être déterminé en fonction de critères objectifs et devrait supposer l’exercice effectif et
réel d’activités de gestion déterminant les décisions principales quant aux finalités, aux
conditions et aux modalités du traitement dans le cadre d'une installation stable. Ce
critère ne devrait pas dépendre du fait que le traitement ait effectivement lieu à cet
endroit; la présence et l'utilisation de moyens techniques et de technologies permettant
le traitement de données à caractère personnel ou la réalisation d'activités de ce type ne
constituent pas en soi l'établissement principal ni, dès lors, un critère déterminant à cet
égard. On entend par «établissement principal du sous-traitant» le lieu de son
administration centrale dans l'Union.
(28) Un groupe d’entreprises devrait consister en une entreprise qui exerce le contrôle et
des entreprises contrôlées, la première devant être celle qui peut exercer une influence
dominante sur les autres du fait, par exemple, de la détention du capital, d'une
participation financière ou des règles qui la régissent, ou du pouvoir de faire appliquer
les règles relatives à la protection des données à caractère personnel.
(29) Les données à caractère personnel relatives aux enfants nécessitent une protection
spécifique parce que ceux-ci peuvent être moins conscients des risques, des
conséquences, des garanties et de leurs droits en matière de traitement des données.
Afin de déterminer jusqu'à quel âge une personne est un enfant, le règlement devrait
reprendre la définition retenue par la convention des Nations unies relative aux droits
de l'enfant.
(30) Tout traitement de données à caractère personnel devrait être licite, loyal et transparent
à l'égard des personnes concernées. En particulier, les finalités précises du traitement
devraient être explicites et légitimes, et déterminées lors de la collecte des données.
Les données devraient être adéquates, pertinentes et limitées au minimum nécessaire
aux finalités pour lesquelles elles sont traitées, ce qui exige notamment de veiller à ce
que les données collectées ne soient pas excessives et à ce que leur durée de
conservation soit limitée au strict minimum. Les données à caractère personnel ne
FR 24 FR