La révision de la réglementation européenne sur la protection des données est au programme de la Commission depuis des années. La commissaire à la justice, Viviane Reding, a fait de cette réforme de la législation actuelle une priorité de son mandat, mais ses projets de révision ont souvent été repoussés.
Cette nouvelle tentative ne fait pas exception. Dès que Mme Reding a soumis sa proposition législative au débat interne entre les différents départements de l'exécutif européen, plusieurs voix critiques se sont fait entendre.
Six départements ont rendu une opinion négative à la proposition, forçant Mme Reding à remanier rapidement de nombreux éléments clés inclus dans son texte original.
La commissaire pense rester dans les temps
Malgré la controverse, les proches collaborateurs de Mme Reding assurent que la plupart des questions ont été réglées et confirment que les nouvelles mesures seront présentées le 25 janvier, comme initialement prévu.
Ces mesures comprendront une communication, une réglementation, une directive et un rapport technique.
Actuellement, le seul obstacle à cette proposition semble être l'opposition farouche de Cecilia Malmström, qui préfèrerait reporter cette proposition.
Selon certains fonctionnaires de la Commission, la position de Mme Malmström pourrait être dictée par ses négociations délicates avec les États-Unis sur les transferts de données, un sujet qui a provoqué des débats houleux à Bruxelles.
La directive sur la protection des données inclut les transferts de données. En outre, Mme Reding souhaite étendre l'application des nouvelles règles européennes à toutes les entreprises opérant au sein du marché unique quel que soit leur pays d'origine. Les géants américains de l'Internet désapprouvent largement cette initiative.
Les données personnelles
La proposition initiale présentait une définition des données personnelles jugée trop large par de nombreux membres de la Commission. Les nouvelles règles devraient imposer une application plus stricte du droit de consentement à l'utilisation des données personnelles. Les entreprises devront obtenir le « consentement informé » des utilisateurs à chaque fois que leurs données seront utilisées.
La définition des données personnelles prend clairement une importance nouvelle dans ce contexte. Mme Reding avait initialement inclus certains cookies dans sa définition des données personnelles, conformément à une position largement répandue parmi les autorités chargées de la protection des données.
Les cookies sont en effet capables de suivre les activités des utilisateurs du Net et peuvent donc fournir des informations qui pourraient indirectement s'avérer utiles pour identifier les utilisateurs. Pour l'instant, les négociations sur les cookies se poursuivent, même si ce sujet est partiellement couvert par la directive relative à la vie privée et aux communications électroniques.
Violation des données personnelles
Une autre pierre d'achoppement de cette proposition concerne la disposition visant à imposer une obligation de préavis de 24 heures en cas de violation des données, qui peut se produire lorsque les données personnelles sont volées par des parties non autorisées. Des affaires récentes impliquaient Sony et Apple, deux entreprises qui ont perdu de nombreuses données d'utilisateurs.
La proposition originale a toutefois été atténuée dans la mesure où de nombreux membres de la Commission considéraient qu'elle aurait imposé « un fardeau disproportionné » aux entreprises.
En outre, elle aurait fait preuve d'incohérence avec la directive sur la vie privée qui, en cas de violation des données, prévoit un préavis « sans délai ». Les entreprises concernées par cette règle plus floue auraient pu bénéficier d'un avantage concurrentiel déloyal par rapport aux sociétés soumises à la réglementation plus stricte sur la protection des données.
Le nouveau texte, encore sujet à modification, maintient le préavis de 24 heures, mais ajoute la clause non négligeable « si possible », assouplissant ainsi cette règle.
