Navigation – Plan du site

RGPD et loi sur les données personnelles : nouvelles contraintes, nouvelles avancées ?

Jacques Vétois

Texte intégral

  • 1 Gafam est l’acronyme des géants du Web, Google, Apple, Facebook, Amazon et Microsoft.

1Le Règlement général sur la protection des données (RGPD) de l’Union européenne est entré en application le 25 mai 2018 dans toute l’Europe. Par conséquent, un certain nombre de contraintes nouvelles vont s’appliquer aux entreprises et aux administrations qui recueillent nos données personnelles. Les Gafam1, qui ont toujours eu tendance à présenter leurs « Conditions générales »  et leur « Politique d’utilisation » comme faisant force de loi dans tous les pays du monde, devront, elles aussi, s’adapter au risque d’être soumises à des condamnations en justice et à de lourdes amendes.

2Ce Règlement ne nécessite pas le vote d’une loi de transposition dans chaque pays européen et améliore ainsi l’uniformisation du droit sur la protection des données dans l’Union européenne. Pourtant, il laisse des options ouvertes aux États membres, ce qui justifie une adaptation au droit français, et a été l’objet du projet de loi récemment discuté à l’Assemblée nationale et au Sénat.

Qu’apporte donc la nouvelle loi associée au Règlement européen ?

  • 2 La Quadrature du Net a entrepris depuis le 25 mai 2018 une action de groupe contre les Gafam qui «  (...)

3Le RGPD précise la notion de données personnelles d’une manière très large comme toute information se rapportant à une  « personne physique identifiable directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ». Du point de vue des auteurs d’un traitement et de ses sous-traitants, la loi passe à une logique de responsabilités sans recourir à l’obligation de déclaration comme la loi Informatique et Libertés de 1978 le préconisait, mais avec le risque de sanctions renforcées et dissuasives (jusqu’à 4 % du chiffre d’affaires de l’entreprise) en cas de non-respect de la loi. Jusqu’à maintenant, les Gafam contournaient les lois européennes, ce que le RGPD rendra plus difficile à l’avenir. Il s’appliquera à tout traitement, même effectué en dehors du territoire de l’Union européenne, par transfert de données par exemple, dès lors que l’utilisateur du traitement réside dans l’Union. Les Gafam sont donc susceptibles d’être mises en accusation par toute personne s’estimant lésée par la politique de conservation et de traitement de ses données personnelles au profit d’autres activités, souvent lucratives, que celles demandées initialement2. Il suffit de se souvenir du scandale Cambridge Analytica qui utilisa les données personnelles vendues par Facebook pour intervenir dans la campagne électorale américaine ainsi que dans celle du Brexit.

4Le point le plus important de ce nouveau règlement est le choix du consentement préalable (« opt in ») du propriétaire à un traitement pour utiliser son adresse et ses données dans un cadre précis : la demande devra « être présentée sous une forme qui la distingue clairement, compréhensible et aisément accessible, et formulée en des termes clairs et simples ». Il insiste également pour que le retrait du consentement soit aussi simple que lorsqu’il est accordé. Allié à la nécessité pour les auteurs de traitement d’assurer la portabilité, c’est-à-dire de prévoir une éventuelle récupération des données qui lui ont été transmises « dans un format structuré, couramment utilisé et lisible par machine ». L’utilisateur pourra alors facilement faire jouer la concurrence entre les prestataires de service. Cette disposition est en phase avec le paradigme économique du libre accès au marché commun à partir duquel s’est construite en partie l’Union européenne, devenue aujourd’hui championne de l’ouverture à la concurrence tous azimuts, en son sein.

5Le droit à l’oubli – donc à l’effacement et au déréférencement des réseaux sociaux –, a été pris en compte même s’il reste limité par la liberté d’information ou par certaines mesures légales.

6Moins conscients des risques, les enfants seront mieux protégés. L’inscription sur les réseaux sociaux et le consentement aux divers traitements de données proposés par ceux-ci seront soumis au contrôle parental jusqu’à un âge limite (de 13 ans à 16 ans selon les pays – 15 ans en France par cohérence avec la loi Informatique et Liberté de 1978, modifiée en 2004).

Les problèmes restés en suspens

  • 3 Parcoursup est une « appli » destinée à recueillir et à gérer les vœux d’affectation des lycéens ap (...)

7Le flou concerne l’automatisation de certaines décisions administratives comme le profilage des personnes qui était condamnée depuis la loi de 1978, mais voulue par le gouvernement malgré les réactions de l’Assemblée nationale et du Sénat. La bataille entre le gouvernement et les assemblées a porté sur l’information des droits du citoyen d’obtenir de l’administration l’explicitation des algorithmes qui lui ont été appliqués. Cette réforme a été reportée finalement à 2020 et le gouvernement a fait tout son possible pour en exclure ParcourSup3.

8L’obligation de sécurité demandée par le RGPD, en particulier pour des données sensibles, implique bien évidemment « que le responsable du traitement, ou le sous-traitant, évalue les risques inhérents au traitement et mette en œuvre des mesures pour les atténuer, telles que le chiffrement ». Selon la Cnil, ces risques exigent des «  solutions de chiffrement robustes, sous la maîtrise complète de l’utilisateur  ». Le gouvernement pris entre des tendances contradictoires n’a pas vraiment tranché.

9Ce règlement et la loi qui va être votée apportent des avancées longtemps réclamées par les associations de défense des libertés et rendues nécessaires par la politique des Gafam . Mais ces dernières joueront-elles le jeu ? N’abuseront-elles pas de la confiance et de la responsabilité que leur laisse la nouvelle loi ? Dans un premier temps, elles peuvent circonscrire à l’Europe les réformes demandées. Mais la contagion gagnera-t-elle d’autres zones du monde ? Et surtout des actions collectives sauront-elles défendre efficacement la vie privée et les données personnelles face à l’Etat et aux Gafam ?

Haut de page

Notes

1 Gafam est l’acronyme des géants du Web, Google, Apple, Facebook, Amazon et Microsoft.

2 La Quadrature du Net a entrepris depuis le 25 mai 2018 une action de groupe contre les Gafam qui « nous font payer leurs services avec nos libertés » : http://gafam.laquadrature.net/

3 Parcoursup est une « appli » destinée à recueillir et à gérer les vœux d’affectation des lycéens après le Bac.

Haut de page

Pour citer cet article

Référence électronique

Jacques Vétois, « RGPD et loi sur les données personnelles : nouvelles contraintes, nouvelles avancées ? », Terminal [En ligne], 122 | 2018, mis en ligne le 20 juin 2018, consulté le 16 novembre 2018. URL : http://journals.openedition.org/terminal/2182

Haut de page

Auteur

Jacques Vétois

Comité de rédaction de Terminal

Articles du même auteur

Haut de page

Droits d’auteur

tous droits réservés

Haut de page
  • Logo Télécom École de Management
  • Logo CREIS terminal
  • OpenEdition Journals