1.  La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données personnelles la concernant sont ou non traitées et, dans l'affirmative, d'obtenir l'accès aux données personnelles et aux informations suivantes :

a) les finalités dutraitement ;

b) les catégories de donnéespersonnelles concernées ;

c) les destinataires ou lescatégories de destinataires auxquels les données personnelles ont été ou serontdivulguées, en particulier s'il s'agit de destinataires dans des pays tiers oudes organisations internationales ;

d) si possible, la période proposéede conservation des données personnelles ou, si cela n'est pas possible, lescritères utilisés pour déterminer cette période ;

e) l'existence du droit de lapersonne concernée de demander au responsable du traitement la rectification oul'effacement des données personnelles ou la limitation du traitement desdonnées personnelles la concernant ou de s'opposer au traitement de cesdonnées ;

f) le droit de déposer une plainteauprès d'une autorité de surveillance ;

g) lorsque les données ne sont pascollectées auprès de la personne concernée, toutes les informations disponiblessur leur origine ;

h) l'existence d'une prise dedécision automatisée, y compris le profilage visé à l'article 22, paragraphes 1et 4, et, au moins dans ces cas, des informations significatives sur la logiqueutilisée, ainsi que sur l'importance et les conséquences envisagées de cetraitement pour la personne concernée.

2. Lorsque des données personnellessont transférées vers un pays tiers ou une organisation internationale, lapersonne concernée a le droit d'être informée de l'existence de garantiesappropriées au sens de l'article 46 relatives au transfert.

3. Le responsable du traitementfournit une copie des données personnelles en cours de traitement. Lorsque descopies supplémentaires sont demandées par la personne concernée, le responsabledu traitement peut facturer des frais raisonnables basés sur les coûtsadministratifs. Si la personne concernée fait lademande par voie électronique, et sauf indication contraire de la personneconcernée, les informations sont fournies dans un format électroniquecouramment utilisé.

4. Le droit d'obtenir une copie viséau paragraphe 3 ne doit pas porter atteinte aux droits et libertés d'autrui.

Article 16 -  Droit de rectification

La personne concernée a le droit d'obtenir du responsabledu traitement la rectification des données personnelles inexactes laconcernant, sans retard excessif. Compte tenu des finalités du traitement, lapersonne concernée a le droit d'obtenir l'intégration de données personnellesincomplètes, également en fournissant une déclaration complémentaire.

Article 17 -  Droit à l'effacement(« droit à l'oubli »)

1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement des données personnelles laconcernant sans retard excessif et le responsable du traitement est tenu d'effacer les données personnelles sans retard excessif si l'un des motifs suivants s'applique :

a) les données personnelles ne sontplus nécessaires au regard des finalités pour lesquelles elles ont étécollectées ou autrement traitées ;

b) la personne concernée retire leconsentement sur lequel le traitement est fondé conformément à l'article 6,paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et s'iln'existe aucune autre base juridique pour le traitement ;

c) la personne concernée s'oppose autraitement conformément à l'article 21, paragraphe 1, et il n'existe pas demotif légitime prépondérant pour le traitement, ou s'oppose au traitementconformément à l'article 21, paragraphe 2 ;

d) les données personnelles ont ététraitées illégalement ;

e) les données personnelles doiventêtre effacées afin de respecter une obligation légale prévue par le droit del'Union ou des États membres à laquelle le responsable du traitement estsoumis ;

f) les données personnelles ont étécollectées dans le cadre de la fourniture des services de la société del'information visés à l'article 8, paragraphe 1.

2. Lorsque le responsable du traitement a rendu publiques des données personnelles et qu'il est tenu, en vertu du paragraphe 1, de les effacer, il prend, compte tenu des technologies disponibles et des coûts de mise en œuvre, des mesures raisonnables, y compris des mesures techniques, pour informer les responsables du traitement des données personnelles de la demande de la personne concernée d'effacer tout lien, copie ou reproduction de ses données personnelles.

3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où le traitement est nécessaire :

a) pour l'exercice du droit à laliberté d'expression et d'information ; b) pour l'accomplissement d'uneobligation légale à laquelle le traitement est soumis en vertu du droit del'Union ou des États membres ou pour l'exécution d'une mission d'intérêt publicou relevant de l'exercice de l'autorité publique dont est investi leresponsable du traitement ;

c) pour des raisons d'intérêt publicdans le domaine de la santé publique, conformément à l'article 9, paragraphe 2,lettres h et i, et à l'article 9, paragraphe 3 ;

d) pour l'archivage dans l'intérêtpublic, la recherche scientifique ou historique ou à des fins statistiquesconformément à l'article 89, paragraphe 1, dans la mesure où le droit visé auparagraphe 1 est susceptible de rendre impossible ou de nuire gravement à laréalisation des objectifs de ce traitement ; ou

e) pour l'établissement, l'exercice oula défense de revendications légales.

1. La personne concernée a le droit d'obtenir du responsable du traitement la limitation du traitement lorsque l'un des cas suivants se produit:

a) la personne concernée contestel'exactitude des données personnelles, pendant la période nécessaire auresponsable du traitement pour vérifier l'exactitude de ces donnéespersonnelles ;

b) le traitement est illégal et lapersonne concernée s'oppose à l'effacement des données personnelles et demandeà la place que leur utilisation soit limitée ;

c) bien que le responsable dutraitement n'en ait plus besoin aux fins du traitement, les donnéespersonnelles sont requises par la personne concernée pour la constatation, l'exerciceou la défense de droits en justice ;

d) la personne concernée s'estopposée au traitement conformément à l'article 21, paragraphe 1, en attendantde vérifier si les motifs légitimes du responsable du traitement prévalent surceux de la personne concernée.

2. Lorsque le traitement est limitéen vertu du paragraphe 1, ces données personnelles ne sont, à l'exception deleur stockage, traitées qu'avec le consentement de la personne concernée oupour la constatation, l'exercice ou la défense de droits en justice ou pour laprotection des droits d'une autre personne physique ou morale ou pour desraisons d'intérêt public majeur de l'Union ou d'un État membre.

3. La personne concernée qui a obtenu une limitation du traitement en vertu du paragraphe 1 est informée par le responsable du traitement avant que cette limitation ne soit levée.

Articolo 19 - Obligation denotification en cas de rectification ou d'effacement des données personnellesou de limitation du traitement

Le responsable du traitement communique à chacun des destinataires auxquels les données personnelles ont été transmises toute rectification ou tout effacement ou toute limitation du traitement effectué en vertu de l'article 16, de l'article 17, paragraphe 1, et de l'article 18, à moins que cela ne s'avère impossible ou n'implique un effort disproportionné. Le responsable du traitement des données informe la personne concernée de ces destinataires si la personne concernée en fait la demande.

1. La personne concernée a le droit derecevoir dans un format structuré, couramment utilisé et lisible par machine,les données personnelles la concernant qui ont été fournies à un responsable dutraitement des données et a le droit de transmettre ces données à un autreresponsable du traitement des données sans que le responsable du traitement desdonnées auquel elle les a fournies y fasse obstacle lorsque :

• a) le traitement est fondé sur le consentement en vertu del'article 6, paragraphe 1, lettre a) ou de l'article 9, paragraphe 2, lettre a)ou sur un contrat conformément à l'article 6, paragraphe 1, lettre b) ; et

• b) le traitement est effectué pardes moyens automatisés.

2.  Lorsqu'elle exerce ses droits en matière de portabilité des données conformément au paragraphe 1, la personne concernée a le droit d'obtenir la transmission directe des données à caractère personnel d'un responsable du traitement à un autre, si cela est techniquement possible.

3. L'exercice du droit visé auparagraphe 1 du présent article est sans préjudice de l'article 17. Ce droit nes'applique pas au traitement nécessaire à l'exécution d'une mission d'intérêtpublic ou relevant de l'exercice de l'autorité publique dont est investi leresponsable du traitement.

4. Le droit visé au paragraphe 1 ne doit pas porter atteinte aux droits et libertés d'autrui.

Article 21- Droit d'opposition

1. La personne concernée a le droitde s'opposer à tout moment, pour des raisons tenant à sa situationparticulière, au traitement des données à caractère personnel la concernant envertu de l'article 6, paragraphe 1, lettres e) ou f), y compris le profilagesur la base de ces dispositions. Le responsable du traitement ne traite pasdavantage les données à caractère personnel à moins qu'il ne puisse démontrerdes motifs légitimes impérieux pour le traitement qui prévalent sur lesintérêts, les droits et les libertés de la personne concernée ou pour laconstatation, l'exercice ou la défense de droits en justice.

2. Lorsque des données personnellessont traitées à des finalités de marketing direct, la personne concernée a ledroit de s'opposer à tout moment au traitement des données personnelles laconcernant effectué à ces finalités, y compris le profilage dans la mesure oùil est lié à ce marketing direct.

3. Si la personne concernée s'opposeau traitement à des finalités de marketing direct, les données personnelles nesont plus traitées à ces finalités.

4. Le droit visé aux paragraphes 1et 2 est explicitement porté à l'attention de la personne concernée et estprésenté clairement et séparément de toute autre information au plus tard lorsde la première communication avec la personne concernée.

5. Dans le cadre de l'utilisationdes services de la société de l'information et sans préjudice de la directive2002/58/CE, la personne concernée peut exercer son droit d'opposition par desmoyens automatisés utilisant des techniques spécifiques.

6. Lorsque des données personnellessont traitées à des finalités de recherche scientifique ou historique ou à desfinalités statistiques conformément à l'article 89, paragraphe 1, la personneconcernée a le droit, pour des raisons tenant à sa situation particulière, des'opposer au traitement des données personnelles la concernant, sauf si letraitement est nécessaire à l'exécution d'une mission effectuée dans l'intérêtpublic.

Article 22 -  Processus décisionnelautomatisé concernant les personnes physiques, y compris le profilage

1. La personne concernée a le droit de ne pas faire l'objetd'une décision fondée uniquement sur un traitement automatisé, y compris leprofilage, et produisant des effets juridiques la concernant ou l'affectant demanière significative de façon similaire.

2. Le paragraphe 1 ne s'applique pas lorsque ladécision :

a) est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne concernée et un responsable du traitement des données ;

b) est autorisée par le droit de l'Union ou de l'État membre auquel le responsable du traitement est soumis, qui prévoit également des mesures appropriées pour protéger les droits, les libertés et les intérêts légitimes de la personne concernée ;

c) est basée sur le consentement explicite de la personne concernée.

3. Dans les cas visés au paragraphe 2, lettres a) et c), leresponsable du traitement met en œuvre les mesures appropriées pour protégerles droits, les libertés et les intérêts légitimes de la personne concernée, aumoins le droit d'obtenir une intervention humaine du responsable du traitement,d'exprimer son point de vue et de contester la décision.

4. Les décisions visées au paragraphe 2 ne sont pas fondéessur des catégories particulières de données personnelles visées à l'article 9,paragraphe 1, sauf si l'article 9, paragraphe 2, lettres a) ou g), s'appliqueet que des mesures appropriées sont en place pour protéger les droits, leslibertés et les intérêts légitimes de la personne concernée.