Législation

Dans les années 90, la protection des données à caractère personnel était régie par des législations adoptées par les États membres et n'étaient pas harmonisées. Bien que fondées sur les mêmes principes de base énoncés dans la Convention n° 108 sur la protection des données du Conseil de l'Europe, ces législations étaient très différentes l'une de l'autre. Comme on estimait que ces différences avaient une incidence sur la concurrence et donc sur le bon fonctionnement du marché intérieur de l'UE, les pressions se sont intensifiées pour que soit mis en place un cadre plus harmonisé. L'évolution dans le domaine des technologies de l'information et des communications a également renforcé la nécessité de prévoir un ensemble de règles communes en matière de protection des données précisant la convention du Conseil de l'Europe.

C'est ainsi que fut adoptée la directive 95/46/CE. Cette directive, qui constitue la pierre angulaire de la législation relative à la protection des données personnelles en Europe, définit les conditions générales de licéité des traitements de données personnelles et les droits des personnes dont les données font l'objet d'un traitement (les "personnes concernées"). Il est également prévu qu'au moins une autorité de contrôle indépendante dans chaque État membre soit chargée de surveiller la mise en œuvre de la directive.

Deux ans plus tard, une directive sur la vie privée et les communications électroniques a été adoptée. Mise à jour en 2002 sous la forme de la directive 2002/58/CE, elle régit des domaines dont il n'était pas suffisamment tenu compte dans la directive 95/46, notamment la confidentialité, la facturation, les données relatives au trafic, les règles concernant le spam, etc.

Ces deux directives ont créé un système général et neutre d'un point de vue technologique de protection des données applicable dans tous les États membres de l'UE. Cependant, la protection au niveau des institutions et des organes européens n'était pas garantie. C'est pour combler cette lacune que l'article 286 du traité CE a été adopté.

L'article 286 du traité CE dispose que les institutions et organes européens assurent la protection des données à caractère personnel et prévoit l'établissementd'une autorité de contrôle indépendante. Cet article a été mis en œuvre par le règlement (CE) n° 45/2001.

En combinant les éléments pertinents des directives 95/46/CE et 2002/58/CE, le règlement (CE) n° 45/2001 regroupe dans un instrument juridique unique les droits dont jouissent les personnes concernées et les obligations qui incombent aux personnes chargées du traitement. Il institue également le CEPD en tant qu'autorité de contrôle indépendante chargée de surveiller le traitement des données à caractère personnel par les institutions et organes communautaires (voir également la décision 1247/2002). 

En novembre 2008, le Conseil de l'Union européenne a adopté la décision-cadre relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale. Il s'agit du premier instrument général relatif à la protection des données dans le troisième pilier de l'UE.