- Le Règlement européen sur la protection des données personnelles (RGPD) entre en vigueur le 25 mai 2018.
- Il se substitue à la directive 95/46/CE.
- En France, la loi Informatique et libertés de 1978 sera remplacée par une nouvelle version, actuellement en discussion au Parlement, pour adapter le texte aux spécificités nationales.
- Le pouvoir de sanction de la Cnil est amplifié: en cas d’infraction, l’amende peut atteindre 20 millions d’euros ou 4% du chiffre d’affaires.
Votre protection renforcée
L’Europe tient enfin son cadre réglementaire unifié pour protéger nos données personnelles. Initié en 2012 pour remplacer une directive de 1995, adopté quatre ans après, le » RGPD » (Règlement européen sur la protection des données personnelles) entre en vigueur le 25 mai. Pour les entreprises, les administrations et les associations (dont UFC-QUE Choisir), s’y conformer est un casse-tête. Car il exige une modification profonde de la gestion des données.
Pour les consommateurs, en revanche, le RGPD est une excellente nouvelle. Il entérine plusieurs droits existants et en introduit de nouveaux, tout en renforçant la protection.
Consentement exigé
Fini les cases précochées ou les liens vers des conditions d’utilisation en guise de consentement. Lorsque ce dernier est obligatoire, il faudra recueillir votre accord explicite avant de collecter vos données personnelles. La demande de consentement doit être formulée «sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples», précise le texte (article 7). Vous pourrez aussi retirer votre autorisation à tout moment, sans vous justifier, et cette procédure devra être simple. Chaque état détermine l’ âge à partir duquel un enfant peut ouvrir un compte sur Facebook, Snapchat ou tout autre service en ligne sans ses parents. L’Europe exige qu’il soit compris entre 13 et 16 ans, la France l’a fixé à 15 ans.
Droit à l’oubli consacré
Depuis 2014 et une jurisprudence européenne, les internautes peuvent demander à Google (et aux autres moteurs de recherche) de déréférencer des articles les mettant en cause. Google examine ces demandes au cas par cas et s’exécute s’il les juge fondées. Le RGPD consacre ce droit à effacement (art. 17). Le texte confirme aussi que la liberté d’expression et d’information prime. Ainsi, Google a enlevé un lien vers un article de 2014 sur l’acquittement d’une personne pour violences conjugales (car elle était non coupable), mais refusé de supprimer lien vers un post de 2007 sur les activités passées d’une autre au sein d’une organisation terroriste.
Portabilité des données
Fournisseurs d’accès à Internet, e-commerçants, services de streaming. . . Tous les collecteurs devront vous permettre de télécharger facilement vos données personnelles, « dans un format structuré, couramment utilisé et lisible » (art. 20). L’idée est que vous puissiez les confier à un autre service. Passer de Free à Orange ou de Spotify à Deezer sera donc plus aisé (vos playlists ne seront pas transférées). Vous pourrez même demander que vos données soient transmises directement d’un responsable du traitement à un autre, si c’est possible techniquement.
Protection étendue à étranger
Le règlement européen dépasse les frontières de l’Europe. D’abord, il s’applique à toutes les organisations étrangères ayant une activité dans l’Union européenne (art. 3). Ensuite, il protège vos données hors de l’Union (art. 44). Lorsqu’il y a transfert de données vers d’autres pays, le niveau de garantie doit être «approprié». Fini les déclarations de traitement, les entreprises devront mettre en place les outils permettant de vérifier qu’elles respectent leurs obligations. Reste à Voir si les sociétés étrangères appliqueront cette disposition qu’elles pourraient interpréter comme une entrave à leur souveraineté.
Guichet unique
En cas de problème avec une entreprise étrangère, vous pourrez vous adresser à la Cnil (Commission nationale de l’informatique et des libertés), qui contactera son homologue dans le pays concerné et gérera la procédure.
Camille Gruhier QUE CHOISIR Mai 2018 n° 569
