Données personnellesL’Union européenne tient son règlement

L’Europe va enfin disposer d’un cadre réglementaire adapté à l’ère du numérique pour les données personnelles de ses citoyens. En clôturant leurs discussions, le 15 décembre, le Parlement, le Conseil et la Commission ont validé un texte dont les prémisses remontent à 2012. Finalement, leur version varie d’ailleurs assez peu de celle adoptée par le Parlement européen il y a 2 ans. Le nouveau règlement européen renforce la protection de la vie privée, ce dont L’UFC-Que Choisir se réjouit.

Les nouvelles règles, qui s’appliqueront au 1^er janvier 2018, permettront à chacun de mieux maîtriser ses données personnelles. Concrètement, elles contraindront les sites Internet à informer très clairement les consommateurs sur la collecte et le traitement de leurs données, ce qu’ils devront expressément accepter. Le nouveau règlement définit par ailleurs un droit à la portabilité des données : il sera plus facile de transférer les données personnelles d’un prestataire de services à un autre. Par exemple, si vous passez d’Outlook à Gmail, vous pourrez rapatrier simplement vos messages, vos contacts et tous vos fichiers stockés dans le cloud. Pratique.

Précisons que sur ces deux points, le texte européen va plus loin que la loi (française) pour une République numérique, qui sera débattue au Parlement début 2016.

Du droit à l’oubli au droit au déréférencement

Autre mesure importante, le renforcement du droit à l’oubli numérique : si vous le demandez, et si aucun motif légitime ne s’y oppose, Google ne pourra plus indexer dans son moteur de recherche les pages Internet qui vous concernent. Petite subtilité : cela ne contraint pas les sites Internet à supprimer ces pages, c’est pourquoi il est plus juste de parler d’un « droit au déréférencement ». Cette mesure entérine une récente décision de la CJUE (Cour de justice de l’Union européenne), qui avait fait jurisprudence en la matière (lire aussi notre enquête Droit à l’oubli : Google seul juge).

Le Règlement européen valide une autre décision récente de la CJUE, qui a fait beaucoup de bruit au mois d’octobre dernier en invalidant l’accord du Safe Harbor. C’est désormais acté, les entreprises établies hors d’Europe devront se conformer à la réglementation européenne pour pouvoir offrir leurs services dans l’Union : Facebook ne pourra plus se cacher derrière ses bureaux américains pour exploiter comme bon lui semble les données de ses abonnés français ou italiens. Toute comme lui, les autres géants du Net devront en outre héberger en Europe les données des consommateurs européens.

Gare aux entreprises, européennes ou pas, qui manqueraient à leurs nouvelles obligations : le règlement prévoit des sanctions financières importantes (les montants exacts devront attendre le texte définitif, mais selon toute vraisemblance elles pourront atteindre 200 000 000 € ou 4 % du chiffre d’affaires mondial annuel d’une entreprise).

Le texte définitif doit encore être formellement adopté par le Parlement européen et le Conseil début 2016.