Chapitre III - Le principe de responsabilité

414 Origines. – Avant la réforme du droit des données à caractère personnel opérée par le RGPD, les traitements de données étaient soumis à un régime de déclaration ou d’autorisation préalable. La directive 95/46/CE prévoyait en effet une obligation pour les responsables de traitements de notifier les traitements de données à caractère personnel aux autorités de contrôle, sous réserve de dérogations ou de la soumission de certains traitements à un contrôle préalable ¹⁵⁵¹. Dès 2009, le G29 avait souligné l’insuffisance de cette formalité préalable pour assurer une protection efficace des données à caractère personnel ¹⁵⁵². Il a mis en avant la nécessité d’établir un principe d’accountability, imparfaitement traduit en français par principe de « responsabilité » ou de « rendre compte » ¹⁵⁵³. Son origine est toutefois plus lointaine. Les lignes directrices régissant la protection de la vie privée et les flux transfrontières de données de caractère personnel de l’OCDE, contenues dans une recommandation du 23 septembre 1980, énoncent déjà l’existence d’un « principe de responsabilité » aux termes duquel « Tout maître de fichier devrait être responsable du respect des mesures donnant effet aux principes énoncés ci-dessus » ¹⁵⁵⁴. Certes, ce principe transparaissait déjà en partie de la directive 95/46/CE, notamment