Données à caractère personnel: nouvelle donne sous l'impulsion de l'Europe?

Les données personnelles, toutes celles qui, directement ou indirectement, permettent d'identifier une personne physique, sont actuellement encadrées par une directive communautaire du 24 octobre 1995. Ce texte n'est plus adapté, notamment à notre économie numérique. La Commission européenne a donc proposé d'engager une réforme globale, afin de permettre aux personnes de mieux maîtriser leurs données, de réduire les coûts des entreprises et de fixer un cadre juridique unique pour l'ensemble des pays de l'Union européenne.

Le sujet des données personnelles reste donc très sensible juridiquement, économiquement et politiquement. Comment concilier en permanence le respect de la vie privée, droit protégé par la Charte des droits fondamentaux de l'Union européenne, et favoriser l'économie numérique, dont les outils (moteurs de recherche, médias sociaux...) reposent intrinsèquement sur l'exploitation de données personnelles? Les avis sont nécessairement partagés. Actuellement, toute opération de collecte, conservation, utilisation et même destruction de données personnelles doit faire l'objet d'une déclaration préalable, dans chaque pays où tout ou partie de cette opération a lieu.

Clarifier et simplifier les règles

Cette obligation essentielle, conditionnant la légalité de l'opération, doit être faite, en France, auprès de la Commission nationale informatique et libertés (Cnil), qui contrôle le respect de la législation. Pour 2012, la Cnil a annoncé 450 contrôles sur la sécurité et la protection de la vie privée, notamment lors de l'utilisation des données sur les smartphones, la constitution des fichiers de la vie courante, qui résultent des nombreux questionnaires adressés aux particuliers sur les sujets tels que l'eau, le gaz et l'électricité, ou encore les fichiers de police.

De son côté, la Commission européenne souhaite clarifier et simplifier les règles. Il faut dire que, selon ses estimations, les obligations administratives représentent 2,3 milliards d'euros pour les entreprises de l'Union européenne. La réforme ainsi envisagée repose principalement sur:

- l'abandon d'un certain nombre d'obligations administratives qui incombent aux entreprises en matière de notification ;

- le renforcement de la responsabilité des chargés de traitement ainsi que de leurs obligations ;

- le recours à une seule autorité nationale chargée de la protection des données dans les pays de l'Union où est situé l'établissement principal de l'organisation qui les exploite.

Si la Cnil et le G29 (groupe de travail communautaire sur les données à caractère personnel) ont émis un avis globalement favorable sur ce projet, ils soulignent tous deux l'existence de failles et la nécessité d'éclaircir les règles.

Le G29 a exprimé, en outre, son inquiétude face à l'importance du rôle de la Commission européenne, et appelle à une gouvernance plus équilibrée. La Cnil attire par ailleurs l'attention sur la nécessité d'apporter des précisions quant à la possibilité pour chacun de faire valoir ses droits directement auprès d'un tiers dans le cadre du droit à l'oubli, ou encore de reconnaître l'adresse IP comme une donnée personnelle.

Il est clair qu'un règlement sera prochainement adopté. La Commission tiendra-t-elle compte de ces avis? Il reste que les objectifs de simplification et de clarté des règles tant souhaités ne sont pas, à ce stade, complètement en phase avec le respect des droits fondamentaux des individus.

MAITRE CLOTHILDE DELBECQ

est avocate associée, spécialiste en droit de la propriété intellectuelle au sein du cabinet Fidal. Elle intervient régulièrement auprès des entreprises dans l'ensemble de ces domaines, tant en conseil qu'en contentieux ou en matière de formation.