La réforme de la règlementation sur la protection des données proposée par Viviane Reding, la vice-président de la Commission européenne en charge des droits fondamentaux, a été sensiblement modifiée avant d'être publiée, suite à des débats houleux au sein de l'exécutif européen.
Certaines des dispositions prévues se sont heurtées à de nombreuses objections de la part des commissaires tournés vers le monde des affaires, comme Neelie Kroes (stratégie numérique) et Karel de Gucht (commerce).
De nombreux groupes de pression ont tenté d'affaiblir les nouvelles règles sur le « droit à l'oubli » permettant aux utilisateurs de supprimer des informations personnelles qu'ils ne souhaiteraient plus partager avec leurs banques, des sites Internet de réservation en ligne ou des médias sociaux.
Ils ont également pointé du doigt l'obligation de prévenir les utilisateurs en cas de violations de la confidentialité des données et d'obtenir le consentement explicite des internautes pour utiliser leurs données personnelles. Ils se sont également penchés sur les dispositions relatives au transfert d'informations personnelles à des pays tiers.
Suite à ces pressions, le texte proposé par la Commission a été sensiblement amendé, avant même d'avoir été examiné par le Parlement européen et le Conseil de l'UE.
Offensive américaine
Certains pays étrangers se sont impliqués dans les négociations à un stade particulièrement précoce. Les États-Unis, par exemple, ont fait de leur mieux pour que ce projet de loi soit modifié afin de protéger les intérêts des entreprises américaines opérant dans l'UE, notamment dans le domaine de la sécurité.
« Il est inhabituel qu'un pays tiers s'intéresse de près à une proposition de réforme dès la première phase », a déclaré à EurActiv un diplomate européen, ajoutant que des fonctionnaires de l'UE contactés par les autorités américaines avaient reçu des dossiers d'informations du gouvernement américain sur ce sujet.
Un document informel du ministère américain du commerce fait état de nombreuses inquiétudes soulevées par Washington lors des négociations menées au sein de l'UE.
Avant que la proposition de la Commission ne soit rendue publique fin janvier, les États-Unis déploraient l'impact négatif de ces règles qui, selon eux, porteraient atteinte à la protection des consommateurs, à la coopération en matière de sécurité publique et même aux droits de l'Homme.
Ces pressions ont porté leurs fruits et le texte final publié par la Commission prend en compte bon nombre des points évoqués par Washington.
Pourra-t-on facilement transférer des données ?
L'une des questions les plus controversées concerne le transfert de données pour des raisons de sécurité. En grande défenseuse des droits des citoyens, Mme Reding souhaitait rendre le transfert de données aussi compliqué que possible. Mais les conclusions des négociations ne reflètent pas vraiment cette volonté.
« Un transfert peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un secteur de traitement de données de ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat », peut-on lire dans le règlement de la Commission relatif à la protection des données.
Malgré cette déclaration en apparence claire contre les transferts simples, ce règlement comprend une série de dérogations qui pourraient empêcher le blocage d'un transfert au motif d'un niveau de protection insuffisant.
Le réseau européen EDRI (European Digital Rights), qui représente 28 organisations de défense de la vie privée et des droits de la personne, a déclaré que la proposition originale comprenait des exigences plus strictes que la dernière version du texte publiée par la Commission.
« Il est important de noter que les États-Unis ont actuellement recours à des outils tels que la loi FISA sur le contre-espionnage (Foreign Intelligence Surveillance Act) et le Patriot Act pour récupérer des données, par exemple sur les activités politiques d'individus étrangers qui n'ont parfois rien à voir avec les États-Unis, par le biais d'entreprises opérant sur le sol américain », peut-on lire dans une note de l'EDRI.
Grâce au texte initialement proposé par la Commission, cette activité aurait pu être sérieusement freinée. Mais suite à un lobbying intense, la proposition a été modifiée et ne devrait pas avoir d'impact significatif sur ces activités intrusives, affirme l’EDRI.
La commissaire européenne aux affaires intérieures, Cecilia Malmström, aurait retiré son veto à la proposition initiale de Mme Reding après avoir obtenu la garantie que ce nouveau règlement ne menacerait pas la coopération UE-Etats-Unis en matière de sécurité. Cette coopération implique des échanges de données personnelles par des méthodes souvent inconnues du grand public.
Au cours des derniers mois, Mme Malmström a joué un rôle clé en concluant des accords controversés avec Washington sur le transfert de données sur les passagers aériens (dossier passager) et de données bancaires (via le SWIFT).
La version finale du texte proposée par la Commission « fournit des garanties solides en matière de protection quant au transfert international de données, tout en accordant une certaine flexibilité face aux domaines spécifiques d'application de la loi », a expliqué un fonctionnaire proche de Mme Malmström. « Les accords UE-Etats-Unis existants ne seront pas remis en cause par cette proposition », a-t-il ajouté.
La protection des données dans d'autres pays
Plusieurs pays occidentaux sont en train de revoir leurs lois relatives à la protection des données. Avec le boom de l'Internet, les autorités en charge de la protection des données font face à une nouvelle configuration et tentent d'adapter des règles souvent obsolètes sur l'utilisation des informations personnelles.
Ces informations étant principalement partagées en ligne partout dans le monde, la meilleure solution serait d'appliquer des règles communes à l'échelle internationale.
Ce n'est toutefois pas ce qui a été décidé, dans la mesure où chaque pays adopte ses propres lois pour réglementer ce secteur. Malgré un lobbying intensif contre la réglementation européenne, les États-Unis souhaitent également réformer leurs règles sur la protection des données, mais ils le feront de manière beaucoup plus modérée, étant donné qu'ils accordent la priorité aux intérêts commerciaux et que les citoyens américains sont moins inquiets que les Européens quant à leurs données personnelles.
L'Inde et la Chine prévoient également d'imposer des règles plus strictes pour les entreprises utilisant des données privées. Les détails de ce type de règlementations restent à définir et les risques que poserait une réglementation trop vague sont bien présents.
