Données personnelles : le nouveau cadre juridique européen est (presque) là
Publié le 16/12/2015 par Thierry Léonard, didier chaumont
C’est officiel, les négociateurs du Parlement européen et du Conseil sont parvenus à un « compromis solide » sur le paquet relatif à la protection des données, composé d’un règlement général sur la protection des données personnelles et d’une directive sur les transferts de données à des fins policières et judiciaires. Certaines règles importantes ont été modifiées : l’amende administrative pourrait aller jusqu’à 4% du chiffre d’affaires mondial (au lieu de 2% dans la dernière version) mais l’obligation de nommer un DPO en entreprise est sensiblement allégée.
Le Règlement général sur la protection des données personnelles : rappel du contexte et de sa finalité
On voit le bout de la vaste réforme de la directive 95/46/CE relative à la protection de la vie privée à l’égard des traitements de données à caractère personnel, initiée en janvier 2012 par la Commission européenne.
Ce nouveau règlement a pour ambition de rendre effectifs les droits des personnes sur leurs données à caractère personnel à travers l’Union européenne indépendamment du lieu où les données sont traitées, tout en garantissant aux entreprises un cadre juridique clair afin d’encourager le développement d’un marché numérique unique.
Les Européens verront leurs droits sensiblement renforcés, notamment par la reconnaissance de nouveaux droits leur permettant de récupérer la maîtrise de leurs données et de contrôler plus efficacement l’utilisation qui est faite de leurs données (devoir d’information accru, droit d’accès renforcé, droit à la portabilité des données, obligation de notifier les violations de données…).
Non seulement le futur règlement est source de sécurité juridique pour les entreprises via une harmonisation des règles applicables en la matière au sein de l’Union, mais ce texte vise également à stimuler l’économie numérique en supprimant les barrières à l’entrée de nouveaux marchés et en simplifiant certaines obligations à charge des responsables de traitement (suppression de l’obligation de notification des traitements, allègement de l’obligation de désigner un préposé à la protection des données, limitation des situations où une analyse d’impact est requise, etc.).
Une nouvelle version du projet de Règlement plus sévère pour les entreprises ?
Un lecture (très) rapide de la dernière version du texte et des communiqués de presse de la Commission et du Parlement augure d’une augmentation de la sévérité à l’égard des entreprises prises en défaut.
En effet, les montants des amendes administratives ont été revues à la hausse, pouvant atteindre, pour certaines infractions, un montant de 20 millions EUR, voire pour une entreprise, de 4% du chiffre d’affaires annuel mondial de l’année comptable précédente si dernier montant est plus élevé.
Par contre, au titre de cadeau pour les entreprises, on note que les critères de la nomination obligatoire d’un Data Protection Officer (DPO) ont été assouplies. Seules les entreprises dont l’activité principale (« core activities ») est un traitement qui requiert une surveillance (« monitoring ») régulière et systématique des personnes concernées sur une large échelle ou qui consiste en un traitement à large échelle de données sensibles sont visées par l’obligation de désignation d’un DPO.
A côté d’autres modifications moins sensibles, pointons aussi une nouvelle disposition spécifique, qui fait vraisemblablement écho à l’affaire Swift, n’admettant les décisions de transferts de données par des autorités judiciaires ou administratives étrangères (de pays tiers) comme valides et obligatoires que si elles se basent sur une convention internationale –comme un traité d’assistance mutuelle- en vigueur entre ledit pays et l’Union ou l’Etat membre.
Retenons encore que la limite d’âge concernant l’affranchissement de l’accord parental pour l’utilisation de services de l’information (réseaux sociaux etc.) pour les enfants est fixée à 16 ans, tout en laissant aux Etats membres la possibilité de fixer leurs propres limites entre 13 et 16 ans.
La directive relative à la protection des données pour la coopération policière transfrontalière : une coopération renforcée qui tombe à pic après les attentats de Paris
Le second projet –une directive- vise à garantir les droits et libertés des citoyens en cas de transfert de données à des fins policières et judiciaires, tout en renforçant l’échange rapide et efficace d’informations entre autorités répressives au sein de l’Union européenne.
Les récents attentats de Paris ont rendu urgente l’adoption d’un cadre juridique clair pour la coopération policière transfrontalière afin de renforcer l’échange de données de nature répressive dans l’ensemble de l’Union, tout en garantissant la protection des droits fondamentaux des citoyens.
La future directive harmonisera donc les 28 systèmes répressifs en matière d’échange de données, au moyen de normes communes relatives à la protection des données pour la coopération policière, tout en laissant aux États la faculté de fixer des normes de protection plus strictes.
La suite : vote en Commission et en session plénière
Le texte de compromis, arrêté hier, sera soumis à un vote de confirmation en commission des libertés civiles, de la justice et des affaires intérieures ce jeudi 17 décembre à 9h30 à Strasbourg. En cas d’approbation, le paquet législatif sera ensuite soumis au vote en session plénière, début de l’année 2016.
Les États membres disposeront alors d’un délai de deux ans pour assurer la transposition en droit national de la future directive. Le règlement sera applicable que deux ans à compter de la date de son entrée en vigueur, prévue au vingtième jour suivant sa publication au journal officiel de l’Union européenne.
Nous consacrerons bien entendu une large étude aux commentaires de ce nouveau dispositif réglementaire en matière de protection de données, qui en bien des points, modifie profondément les règles et principes en matière de données personnelles, à l’aune des évolutions technologiques.
Plus d’infos ?
En prenant connaissance du texte dans sa version la plus récente, en annexe à cette actualité.
