# Journal officiel C 280/2010

| | ISSN 1725-2431
  doi:10.3000/17252431.C_2010.280.fra |
| --- | --- |
| Journal officiel
  de l'Union européenne | C 280 |
| | |
| Édition de langue française | Communications et informations | 53e année16 octobre 2010 |

ISSN 1725-2431

doi:10.3000/17252431.C_2010.280.fra

Journal officiel

de l'Union européenne

C 280

Édition de langue française

Communications et informations

53e année16 octobre 2010

---

| Numéro d'information | Sommaire | page |
| --- | --- | --- |
| | I   Résolutions, recommandations et avis |
| | AVIS |
| | Contrôleur européen de la protection des données |
| 2010/C 280/01 | Avis du contrôleur européen de la protection des données sur la promotion de la confiance dans la société d’information par des mesures d’encouragement de la protection des données et de la vie privée | 1 |
| 2010/C 280/02 | Avis du contrôleur européen de la protection des données sur la proposition d’une directive du Parlement européen et du Conseil relative aux déchets d’équipements électriques et électroniques (DEEE) | 16 |

Numéro d'information

Sommaire

page

I   Résolutions, recommandations et avis

AVIS

Contrôleur européen de la protection des données

2010/C 280/01

Avis du contrôleur européen de la protection des données sur la promotion de la confiance dans la société d’information par des mesures d’encouragement de la protection des données et de la vie privée

1

2010/C 280/02

Avis du contrôleur européen de la protection des données sur la proposition d’une directive du Parlement européen et du Conseil relative aux déchets d’équipements électriques et électroniques (DEEE)

16

| | II   Communications |
| --- | --- |
| | COMMUNICATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE |
| | Commission européenne |
| 2010/C 280/03 | Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE — Cas à l'égard desquels la Commission ne soulève pas d'objection (
  1
  ) | 22 |
| 2010/C 280/04 | Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE — Cas à l'égard desquels la Commission ne soulève pas d'objection (
  1
  ) | 26 |
| 2010/C 280/05 | Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE — Cas à l'égard desquels la Commission ne soulève pas d'objections (
  1
  ) | 29 |
| 2010/C 280/06 | Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE — Cas à l'égard desquels la Commission ne soulève pas d'objection (
  1
  ) | 30 |

II   Communications

COMMUNICATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

2010/C 280/03

Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE — Cas à l'égard desquels la Commission ne soulève pas d'objection (
  1
  )

1

22

2010/C 280/04

Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE — Cas à l'égard desquels la Commission ne soulève pas d'objection (
  1
  )

1

26

2010/C 280/05

Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE — Cas à l'égard desquels la Commission ne soulève pas d'objections (
  1
  )

1

29

2010/C 280/06

Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE — Cas à l'égard desquels la Commission ne soulève pas d'objection (
  1
  )

1

30

| | IV   Informations |
| --- | --- |
| | INFORMATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE |
| | Commission européenne |
| 2010/C 280/07 | Taux de change de l'euro | 31 |
| 2010/C 280/08 | Décision de la Commission du 14 octobre 2010 Réactivation du groupe de haut niveau CARS 21 sur la compétitivité et la croissance durable de l’industrie automobile dans l’Union européenne | 32 |

IV   Informations

INFORMATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

2010/C 280/07

Taux de change de l'euro

31

2010/C 280/08

Décision de la Commission du 14 octobre 2010 Réactivation du groupe de haut niveau CARS 21 sur la compétitivité et la croissance durable de l’industrie automobile dans l’Union européenne

32

| | V   Avis |
| --- | --- |
| | PROCÉDURES RELATIVES À LA MISE EN ŒUVRE DE LA POLITIQUE DE CONCURRENCE |
| | Commission européenne |
| 2010/C 280/09 | Notification préalable d'une concentration (Affaire COMP/M.5927 — BASF/Cognis) (
  2
  ) | 35 |
| 2010/C 280/10 | Notification préalable d'une concentration (Affaire COMP/M.5982 — CVCII/Advance Properties/Huvepharma) — Cas susceptible d'être traité selon la procédure simplifiée (
  2
  ) | 36 |
| 2010/C 280/11 | Communication du ministre des affaires économiques du Royaume des Pays-Bas au titre de l'article 3, paragraphe 2, de la directive 94/22/CE du Parlement européen et du Conseil sur les conditions d'octroi et d'exercice des autorisations de prospecter, d'exploiter et d'extraire des hydrocarbures | 37 |

V   Avis

PROCÉDURES RELATIVES À LA MISE EN ŒUVRE DE LA POLITIQUE DE CONCURRENCE

Commission européenne

2010/C 280/09

Notification préalable d'une concentration (Affaire COMP/M.5927 — BASF/Cognis) (
  2
  )

2

35

2010/C 280/10

Notification préalable d'une concentration (Affaire COMP/M.5982 — CVCII/Advance Properties/Huvepharma) — Cas susceptible d'être traité selon la procédure simplifiée (
  2
  )

2

36

2010/C 280/11

Communication du ministre des affaires économiques du Royaume des Pays-Bas au titre de l'article 3, paragraphe 2, de la directive 94/22/CE du Parlement européen et du Conseil sur les conditions d'octroi et d'exercice des autorisations de prospecter, d'exploiter et d'extraire des hydrocarbures

37

| | Rectificatifs |
| --- | --- |
| 2010/C 280/12 | Rectificatif à la publication de la demande de reconnaissance d’une mention traditionnelle conformément à l’article 33 du règlement (CE) no 607/2009 de la Commission (JO C 275 du 12.10.2010) | 39 |

Rectificatifs

2010/C 280/12

Rectificatif à la publication de la demande de reconnaissance d’une mention traditionnelle conformément à l’article 33 du règlement (CE) no 607/2009 de la Commission (JO C 275 du 12.10.2010)

o

39

| | |
| --- | --- |
| | (1)   Texte présentant de l'intérêt pour l'EEE, sauf en ce qui concerne les produits relevant de l'annexe I du traité |
| | (2)   Texte présentant de l'intérêt pour l'EEE |

---

(1)   Texte présentant de l'intérêt pour l'EEE, sauf en ce qui concerne les produits relevant de l'annexe I du traité

1

(2)   Texte présentant de l'intérêt pour l'EEE

2

| FR | |
| --- | --- |

FR

---

I Résolutions, recommandations et avis

AVIS

Contrôleur européen de la protection des données

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/1 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/1

---

Avis du contrôleur européen de la protection des données sur la promotion de la confiance dans la société d’information par des mesures d’encouragement de la protection des données et de la vie privée

2010/C 280/01

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, en particulier son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, en particulier ses articles 7 et 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (1),

vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 relative au traitement de données à caractère personnel et à la protection de la vie privée dans le secteur des communications électroniques (2),

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, et en particulier son article 41 (3),

ADOPTE L’AVIS SUIVANT:

I.   INTRODUCTION

| 1. | Les technologies de l’information et de la communication (TIC) ouvrent de nombreuses possibilités dans nos vies quotidiennes — notamment dans la façon dont nous travaillons, jouons, apprenons et entretenons des contacts avec nos semblables. Les TIC jouent un rôle majeur dans le monde actuel de l’information et dans la société en général. |
| --- | --- |

1.

Les technologies de l’information et de la communication (TIC) ouvrent de nombreuses possibilités dans nos vies quotidiennes — notamment dans la façon dont nous travaillons, jouons, apprenons et entretenons des contacts avec nos semblables. Les TIC jouent un rôle majeur dans le monde actuel de l’information et dans la société en général.

| 2. | L’Union européenne est un leader mondial dans ces technologies de pointe et souhaite le rester. C’est pour relever ce défi que la Commission européenne devrait adopter prochainement un nouveau programme numérique européen, dont la Commissaire Kroes a fait l’une de ses priorités (4). |
| --- | --- |

2.

L’Union européenne est un leader mondial dans ces technologies de pointe et souhaite le rester. C’est pour relever ce défi que la Commission européenne devrait adopter prochainement un nouveau programme numérique européen, dont la Commissaire Kroes a fait l’une de ses priorités (4).

| 3. | Le CEPD reconnaît les bénéfices apportés par les TIC et considère que l’UE devrait faire de son mieux pour favoriser leur développement et la généralisation de leur utilisation. Il partage aussi entièrement la volonté des commissaires Kroes et Reding de placer les citoyens au cœur de ce nouvel environnement technologique (5). Les particuliers doivent pouvoir compter sur la capacité des TIC à garantir la sécurité de leurs informations et contrôler l’usage qui en est fait, et savoir que, dans cet espace numérique, leurs droits en matière de protection de la vie privée et de confidentialité des données seront respectés. Il est indispensable que ces droits soient pris en compte pour obtenir la confiance des consommateurs, et cette confiance est indispensable pour que les citoyens européens profitent des nouveaux services qui leurs sont proposés (6). |
| --- | --- |

3.

Le CEPD reconnaît les bénéfices apportés par les TIC et considère que l’UE devrait faire de son mieux pour favoriser leur développement et la généralisation de leur utilisation. Il partage aussi entièrement la volonté des commissaires Kroes et Reding de placer les citoyens au cœur de ce nouvel environnement technologique (5). Les particuliers doivent pouvoir compter sur la capacité des TIC à garantir la sécurité de leurs informations et contrôler l’usage qui en est fait, et savoir que, dans cet espace numérique, leurs droits en matière de protection de la vie privée et de confidentialité des données seront respectés. Il est indispensable que ces droits soient pris en compte pour obtenir la confiance des consommateurs, et cette confiance est indispensable pour que les citoyens européens profitent des nouveaux services qui leurs sont proposés (6).

| 4. | L’UE a mis en place un cadre juridique solide pour la protection des données et de la vie privée, dont les principes restent valables à l’ère numérique. Néanmoins, elle ne doit pas sous-estimer l’ampleur de sa tâche. Les TIC soulèvent fréquemment de nouvelles questions qui ne sont pas prises en compte par le cadre réglementaire actuel. Des mesures doivent donc être prises pour assurer le respect des droits individuels prévus par le législateur communautaire et continuer à garantir aux citoyens européens une protection efficace dans ce nouvel environnement. |
| --- | --- |

4.

L’UE a mis en place un cadre juridique solide pour la protection des données et de la vie privée, dont les principes restent valables à l’ère numérique. Néanmoins, elle ne doit pas sous-estimer l’ampleur de sa tâche. Les TIC soulèvent fréquemment de nouvelles questions qui ne sont pas prises en compte par le cadre réglementaire actuel. Des mesures doivent donc être prises pour assurer le respect des droits individuels prévus par le législateur communautaire et continuer à garantir aux citoyens européens une protection efficace dans ce nouvel environnement.

| 5. | Le présent avis présente les mesures qui pourraient être promues ou adoptées par l’Union européenne pour protéger la vie privée et la protection des données des particuliers dans une société mondialisée toujours plus tournée vers la technologie. Elle expose les instruments législatifs et non législatifs qui pourraient être utiles à ces fins. |
| --- | --- |

5.

Le présent avis présente les mesures qui pourraient être promues ou adoptées par l’Union européenne pour protéger la vie privée et la protection des données des particuliers dans une société mondialisée toujours plus tournée vers la technologie. Elle expose les instruments législatifs et non législatifs qui pourraient être utiles à ces fins.

| 6. | Après un aperçu des opportunités et des risques présentés par les TIC, l’avis examine la nécessité d’intégrer la protection des données et de la vie privée dès la conception de nouvelles technologies de l’information et de la communication (un principe dénommé «Privacy by Design» (respect de la vie privée dès la conception). Afin d’imposer l’application de ce principe à tous, l’avis analyse la façon dont il pourrait être intégré dans le cadre juridique relatif à la protection des données, ce qui pourrait être fait de deux manières différentes. La première consisterait à l’introduire dans la législation communautaire comme un principe général et contraignant, la seconde à l’intégrer dans certains aspects particuliers du secteur des TIC, en montrant comment une architecture et une conception techniques appropriées permettraient d’atténuer les risques spécifiques qui pèsent sur la protection des données et de la vie privée. Ces aspects particuliers sont la RFID (Radio Frequency Identification: identification par radiofréquence), les applications de socialisation sur internet et les applications de navigateurs. Enfin, l’avis formule des suggestions sur les autres outils et principes destinés à protéger la vie privée et les données relatives aux personnes dans le domaine des TIC. |
| --- | --- |

6.

Après un aperçu des opportunités et des risques présentés par les TIC, l’avis examine la nécessité d’intégrer la protection des données et de la vie privée dès la conception de nouvelles technologies de l’information et de la communication (un principe dénommé «Privacy by Design» (respect de la vie privée dès la conception). Afin d’imposer l’application de ce principe à tous, l’avis analyse la façon dont il pourrait être intégré dans le cadre juridique relatif à la protection des données, ce qui pourrait être fait de deux manières différentes. La première consisterait à l’introduire dans la législation communautaire comme un principe général et contraignant, la seconde à l’intégrer dans certains aspects particuliers du secteur des TIC, en montrant comment une architecture et une conception techniques appropriées permettraient d’atténuer les risques spécifiques qui pèsent sur la protection des données et de la vie privée. Ces aspects particuliers sont la RFID (Radio Frequency Identification: identification par radiofréquence), les applications de socialisation sur internet et les applications de navigateurs. Enfin, l’avis formule des suggestions sur les autres outils et principes destinés à protéger la vie privée et les données relatives aux personnes dans le domaine des TIC.

| 7. | Pour répondre à ces questions, l’avis reprend certains points soulevés par le groupe de travail «Article 29» dans sa contribution à la consultation publique sur l’avenir de la vie privée (7). Il s’appuie également sur certains avis précédents du contrôleur européen de la protection des données, ceux notamment du 25 juillet 2007 concernant la mise en œuvre de la directive 95/46/CE (ci-après «directive sur la protection des données») et du 20 décembre 2007 sur la RFID, ainsi que sur ses deux avis relatifs à la directive 2002/58/CE (ci-après directive «Vie privée et communications électroniques») (8). |
| --- | --- |

7.

Pour répondre à ces questions, l’avis reprend certains points soulevés par le groupe de travail «Article 29» dans sa contribution à la consultation publique sur l’avenir de la vie privée (7). Il s’appuie également sur certains avis précédents du contrôleur européen de la protection des données, ceux notamment du 25 juillet 2007 concernant la mise en œuvre de la directive 95/46/CE (ci-après «directive sur la protection des données») et du 20 décembre 2007 sur la RFID, ainsi que sur ses deux avis relatifs à la directive 2002/58/CE (ci-après directive «Vie privée et communications électroniques») (8).

II.   LES TIC: NOUVELLES OPPORTUNITÉS, NOUVEAUX RISQUES

| 8. | Les TIC ont été comparées à d’autres inventions importantes telles que l’électricité. S’il est trop tôt pour évaluer leur impact historique, dans les pays développés, le lien entre les TIC et la croissance économique est évident. Les TIC ont permis de créer des emplois, de réaliser des bénéfices économiques et ont contribué à l’amélioration générale du bien-être des citoyens. Leur impact dépasse le domaine purement économique puisqu’elles ont également joué un rôle important dans le développement de l’innovation et de la créativité. |
| --- | --- |

8.

Les TIC ont été comparées à d’autres inventions importantes telles que l’électricité. S’il est trop tôt pour évaluer leur impact historique, dans les pays développés, le lien entre les TIC et la croissance économique est évident. Les TIC ont permis de créer des emplois, de réaliser des bénéfices économiques et ont contribué à l’amélioration générale du bien-être des citoyens. Leur impact dépasse le domaine purement économique puisqu’elles ont également joué un rôle important dans le développement de l’innovation et de la créativité.

| 9. | En outre, les TIC ont transformé les modes de travail et d’interaction sociale. Par exemple, nous utilisons de plus en plus les TIC pour nos relations sociales et nos opérations économiques. Grâce aux nouvelles applications, nous pouvons utiliser un large éventail de TIC dans divers domaines tels que la santé (eSanté), les transports (eTransports), les affaires publiques (eGouvernement) ainsi que des systèmes interactifs innovants de divertissement et d’acquisition de connaissances. |
| --- | --- |

9.

En outre, les TIC ont transformé les modes de travail et d’interaction sociale. Par exemple, nous utilisons de plus en plus les TIC pour nos relations sociales et nos opérations économiques. Grâce aux nouvelles applications, nous pouvons utiliser un large éventail de TIC dans divers domaines tels que la santé (eSanté), les transports (eTransports), les affaires publiques (eGouvernement) ainsi que des systèmes interactifs innovants de divertissement et d’acquisition de connaissances.

| 10. | C’est au regard de ces avancées que les institutions européennes se sont toutes engagées à soutenir les TIC et à tirer profit de cet outil indispensable pour améliorer la compétitivité des entreprises européennes et accélérer la reprise économique en Europe. Ainsi, au mois d’août 2009, la Commission a approuvé le rapport européen sur la compétitivité dans le domaine numérique (9) et a lancé une consultation publique sur les stratégies appropriées pour favoriser les TIC à l’avenir. Le 7 décembre 2009, le Conseil a remis sa contribution à la consultation «Stratégie post i2010 — Vers une société de la connaissance ouverte, compétitive et verte» (10). Le Parlement européen a pour sa part récemment adopté un rapport destiné à aider la Commission à définir son Programme numérique (11). |
| --- | --- |

10.

C’est au regard de ces avancées que les institutions européennes se sont toutes engagées à soutenir les TIC et à tirer profit de cet outil indispensable pour améliorer la compétitivité des entreprises européennes et accélérer la reprise économique en Europe. Ainsi, au mois d’août 2009, la Commission a approuvé le rapport européen sur la compétitivité dans le domaine numérique (9) et a lancé une consultation publique sur les stratégies appropriées pour favoriser les TIC à l’avenir. Le 7 décembre 2009, le Conseil a remis sa contribution à la consultation «Stratégie post i2010 — Vers une société de la connaissance ouverte, compétitive et verte» (10). Le Parlement européen a pour sa part récemment adopté un rapport destiné à aider la Commission à définir son Programme numérique (11).

| 11. | Les opportunités et les bénéfices apportés par le développement des TIC s’accompagnent de nouveaux risques, notamment en ce qui concerne la vie privée et la protection des données personnelles des individus. Les TIC engendrent souvent une prolifération (qui passe inaperçu aux yeux des particuliers) du volume des informations collectées, triées, filtrées, transférées ou autrement conservées, ce qui multiplie les risques qui pèsent sur ces données. |
| --- | --- |

11.

Les opportunités et les bénéfices apportés par le développement des TIC s’accompagnent de nouveaux risques, notamment en ce qui concerne la vie privée et la protection des données personnelles des individus. Les TIC engendrent souvent une prolifération (qui passe inaperçu aux yeux des particuliers) du volume des informations collectées, triées, filtrées, transférées ou autrement conservées, ce qui multiplie les risques qui pèsent sur ces données.

| 12. | Par exemple, les micropuces RFID remplacent les codes barres sur (certains) produits de consommation. En améliorant les flux d’information de la chaîne d’approvisionnement (et donc en réduisant le besoin de constituer des stocks de «sécurité», en fournissant des prévisions plus précises, etc.), ce nouveau système devrait soutenir les entreprises et les consommateurs. Toutefois, il accroît l’inquiétante possibilité de suivre les consommateurs à différentes fins et par différentes entités, via les articles personnels portant une micropuce d’identification. |
| --- | --- |

12.

Par exemple, les micropuces RFID remplacent les codes barres sur (certains) produits de consommation. En améliorant les flux d’information de la chaîne d’approvisionnement (et donc en réduisant le besoin de constituer des stocks de «sécurité», en fournissant des prévisions plus précises, etc.), ce nouveau système devrait soutenir les entreprises et les consommateurs. Toutefois, il accroît l’inquiétante possibilité de suivre les consommateurs à différentes fins et par différentes entités, via les articles personnels portant une micropuce d’identification.

| 13. | Un autre exemple est constitué par l’«informatique dématérialisée» qui désigne principalement la mise à disposition sur internet d’applications hébergées destinées à des consommateurs ou des professionnels. Il peut s’agir de photothèques, calendriers, bases de données webmail et «customer» ainsi que de services professionnels plus complexes. Les bénéfices pour les entreprises et les personnes sont évidents: des coûts réduits et progressifs, mobilité géographique (accès à l’information partout dans le monde), automatisation (pas de nécessité d’employer du personnel dédié à l’informatique et de mettre les logiciels à jour) etc. Parallèlement, des risques de défaillance de la sécurité et de piratage informatique existent. Certains s’inquiètent aussi de perdre l’accès à leurs propres données et d’en perdre le contrôle. |
| --- | --- |

13.

Un autre exemple est constitué par l’«informatique dématérialisée» qui désigne principalement la mise à disposition sur internet d’applications hébergées destinées à des consommateurs ou des professionnels. Il peut s’agir de photothèques, calendriers, bases de données webmail et «customer» ainsi que de services professionnels plus complexes. Les bénéfices pour les entreprises et les personnes sont évidents: des coûts réduits et progressifs, mobilité géographique (accès à l’information partout dans le monde), automatisation (pas de nécessité d’employer du personnel dédié à l’informatique et de mettre les logiciels à jour) etc. Parallèlement, des risques de défaillance de la sécurité et de piratage informatique existent. Certains s’inquiètent aussi de perdre l’accès à leurs propres données et d’en perdre le contrôle.

| 14. | Dans plusieurs domaines d’application des TIC, risques et bénéfices coexistent. Pour la santé par exemple, les services en ligne peuvent améliorer l’efficacité et l’accessibilité, réduire les coûts, et d’une manière générale, améliorer la qualité des services de soins. Cependant, certains doutes subsistent quant à la légitimité de l’utilisation secondaire des informations collectées dans ce cadre, et appellent à une analyse prudente des objectifs poursuivis lors de toute utilisation potentielle (12). En outre, avec le recours accru aux systèmes de traitement électronique des dossiers de santé, différents problèmes de piratage se sont produits et ont fait scandale. |
| --- | --- |

14.

Dans plusieurs domaines d’application des TIC, risques et bénéfices coexistent. Pour la santé par exemple, les services en ligne peuvent améliorer l’efficacité et l’accessibilité, réduire les coûts, et d’une manière générale, améliorer la qualité des services de soins. Cependant, certains doutes subsistent quant à la légitimité de l’utilisation secondaire des informations collectées dans ce cadre, et appellent à une analyse prudente des objectifs poursuivis lors de toute utilisation potentielle (12). En outre, avec le recours accru aux systèmes de traitement électronique des dossiers de santé, différents problèmes de piratage se sont produits et ont fait scandale.

| 15. | En somme, il est probable qu’un certain degré de risque résiduel persiste, même en évaluant et en appliquant les mesures appropriées. Le risque zéro ne peut exister. Néanmoins, comme nous le verrons plus en détails ci-après, des mesures peuvent et doivent être prises pour limiter les risques à un niveau acceptable. |
| --- | --- |

15.

En somme, il est probable qu’un certain degré de risque résiduel persiste, même en évaluant et en appliquant les mesures appropriées. Le risque zéro ne peut exister. Néanmoins, comme nous le verrons plus en détails ci-après, des mesures peuvent et doivent être prises pour limiter les risques à un niveau acceptable.

III.   «PRIVACY BY DESIGN», RESPECT DE LA VIE PRIVÉE DÈS LA CONCEPTION: UN OUTIL CLÉ DE LA CONFIANCE DES CITOYENS À L’ÉGARD DES TIC

| 16. | Les bénéfices potentiels des TIC ne peuvent être appréciés dans la pratique que si les TIC suscitent la confiance des utilisateurs par leurs caractéristiques et les avantages qui leurs sont propres. Cette confiance ne peut s’établir que si les TIC s’avèrent fiables et sûres, si les utilisateurs peuvent les contrôler, et enfin si elles garantissent la protection de leurs données à caractère personnel et de leur vie privée. |
| --- | --- |

16.

Les bénéfices potentiels des TIC ne peuvent être appréciés dans la pratique que si les TIC suscitent la confiance des utilisateurs par leurs caractéristiques et les avantages qui leurs sont propres. Cette confiance ne peut s’établir que si les TIC s’avèrent fiables et sûres, si les utilisateurs peuvent les contrôler, et enfin si elles garantissent la protection de leurs données à caractère personnel et de leur vie privée.

| 17. | Les risques et défaillances les plus courants (tels que ceux mentionnés plus haut) ébranlent la confiance des utilisateurs à l’égard de la société de l’information, surtout lorsque des données à caractère personnel ou liées à la vie privée des personnes sont mal employées ou utilisées de manière abusive. Cela pourrait sérieusement menacer le développement des TIC et de ses avantages. |
| --- | --- |

17.

Les risques et défaillances les plus courants (tels que ceux mentionnés plus haut) ébranlent la confiance des utilisateurs à l’égard de la société de l’information, surtout lorsque des données à caractère personnel ou liées à la vie privée des personnes sont mal employées ou utilisées de manière abusive. Cela pourrait sérieusement menacer le développement des TIC et de ses avantages.

| 18. | Cependant, l’élimination, l’exclusion ou le refus d’utiliser ou d’encourager les TIC ne sauraient être la solution pour éliminer les risques qui pèsent sur la vie privée et les données à caractère personnel. Cette option ne serait d’ailleurs ni réalisable ni réaliste car elle empêcherait les citoyens d’apprécier les bénéfices des TIC et limiterait sérieusement l’étendue de leurs avantages. |
| --- | --- |

18.

Cependant, l’élimination, l’exclusion ou le refus d’utiliser ou d’encourager les TIC ne sauraient être la solution pour éliminer les risques qui pèsent sur la vie privée et les données à caractère personnel. Cette option ne serait d’ailleurs ni réalisable ni réaliste car elle empêcherait les citoyens d’apprécier les bénéfices des TIC et limiterait sérieusement l’étendue de leurs avantages.

| 19. | Le CEPD estime qu’il serait nettement plus avantageux de concevoir et de développer les TIC de manière à protéger la vie privée et la confidentialité des données à caractère personnel. C’est pourquoi ces deux aspects doivent être intégrés dans le cycle de vie entier de ce type de technologie, du stade précoce de sa conception jusqu’à sa commercialisation, son utilisation et sa mise au rebus. Ce concept dénommé «Privacy by design» (PbD) en anglais et «respect de la vie privée dès la conception» en français sera développé plus loin. |
| --- | --- |

19.

Le CEPD estime qu’il serait nettement plus avantageux de concevoir et de développer les TIC de manière à protéger la vie privée et la confidentialité des données à caractère personnel. C’est pourquoi ces deux aspects doivent être intégrés dans le cycle de vie entier de ce type de technologie, du stade précoce de sa conception jusqu’à sa commercialisation, son utilisation et sa mise au rebus. Ce concept dénommé «Privacy by design» (PbD) en anglais et «respect de la vie privée dès la conception» en français sera développé plus loin.

| 20. | Le principe de «respect de la vie privée dès la conception» peut s’appliquer à différentes actions, en fonction du dossier ou de l’application concernés. Il peut s’agir, selon les cas, d’éliminer/réduire le nombre de données à caractère personnel traitées, ou d’éviter tout traitement non nécessaire et/ou non souhaité. Il peut aussi s’agir de proposer aux utilisateurs des outils leur permettant d’améliorer le contrôle exercé sur les données à caractère personnel les concernant. Ces mesures devront être envisagées lorsque des normes et/ou des bonnes pratiques auront été définies dans ce domaine. Elles pourront aussi être incorporées dans l’architecture des systèmes d’information et de communication ou dans l’organisation structurelle des entités qui procèdent au traitement de données à caractère personnel. |
| --- | --- |

20.

Le principe de «respect de la vie privée dès la conception» peut s’appliquer à différentes actions, en fonction du dossier ou de l’application concernés. Il peut s’agir, selon les cas, d’éliminer/réduire le nombre de données à caractère personnel traitées, ou d’éviter tout traitement non nécessaire et/ou non souhaité. Il peut aussi s’agir de proposer aux utilisateurs des outils leur permettant d’améliorer le contrôle exercé sur les données à caractère personnel les concernant. Ces mesures devront être envisagées lorsque des normes et/ou des bonnes pratiques auront été définies dans ce domaine. Elles pourront aussi être incorporées dans l’architecture des systèmes d’information et de communication ou dans l’organisation structurelle des entités qui procèdent au traitement de données à caractère personnel.

III.1.   Le principe du respect de la vie privée dès la conception: conséquences de son application dans différents environnements TIC

| 21. | La nécessité du principe de respect de la vie privée dès la conception existe dans différents environnements TIC. Le secteur de la santé par exemple, dépend de plus en plus d’infrastructures TIC souvent fondées sur une unité centrale de conservation des informations médicales des patients. Pour pouvoir appliquer le principe de respect de la vie privée dès la conception au secteur de la santé, il serait nécessaire d’évaluer différentes mesures et leur adéquation, comme par exemple, limiter le volume des données stockées de manière centralisée ou contrôler les données au moyen d’un répertoire, en utilisant des outils de cryptage, en attribuant des droits d’accès aux seuls intervenant ayant réellement besoin d’accéder aux données («besoin d’en connaître»), ou en rendant les données anonymes dès qu’elles ne sont plus nécessaires, etc. |
| --- | --- |

21.

La nécessité du principe de respect de la vie privée dès la conception existe dans différents environnements TIC. Le secteur de la santé par exemple, dépend de plus en plus d’infrastructures TIC souvent fondées sur une unité centrale de conservation des informations médicales des patients. Pour pouvoir appliquer le principe de respect de la vie privée dès la conception au secteur de la santé, il serait nécessaire d’évaluer différentes mesures et leur adéquation, comme par exemple, limiter le volume des données stockées de manière centralisée ou contrôler les données au moyen d’un répertoire, en utilisant des outils de cryptage, en attribuant des droits d’accès aux seuls intervenant ayant réellement besoin d’accéder aux données («besoin d’en connaître»), ou en rendant les données anonymes dès qu’elles ne sont plus nécessaires, etc.

| 22. | De même, les moyens de transport sont de plus en plus fréquemment fournis avec des applications TIC avancées préinstallées qui entrent en interaction avec le véhicule et son environnement à des fins différentes et dans le cadre de fonctions distinctes. Par exemple, les voitures sont de plus en plus souvent équipées de nouvelles fonctionnalités TIC (GPS, GSM, réseau de détecteurs, etc.) qui informent en temps réel, non seulement sur leur localisation mais aussi sur leur état technique. Ces outils pourraient être utilisés par exemple pour remplacer les péages routiers par un paiement forfaitaire basé sur la fréquence d’utilisation des routes. L’intégration du principe de respect de la vie privée dès la conception dans l’architecture de ces systèmes devrait permettre de limiter au maximum le volume des données à caractère personnel traitées et transférées par la suite (13). Pour appliquer ce principe, il serait préférable d’opter pour des architectures décentralisées ou semi-décentralisées limitant la communication des données de localisation à un point central, plutôt que pour des architectures centralisées. |
| --- | --- |

22.

De même, les moyens de transport sont de plus en plus fréquemment fournis avec des applications TIC avancées préinstallées qui entrent en interaction avec le véhicule et son environnement à des fins différentes et dans le cadre de fonctions distinctes. Par exemple, les voitures sont de plus en plus souvent équipées de nouvelles fonctionnalités TIC (GPS, GSM, réseau de détecteurs, etc.) qui informent en temps réel, non seulement sur leur localisation mais aussi sur leur état technique. Ces outils pourraient être utilisés par exemple pour remplacer les péages routiers par un paiement forfaitaire basé sur la fréquence d’utilisation des routes. L’intégration du principe de respect de la vie privée dès la conception dans l’architecture de ces systèmes devrait permettre de limiter au maximum le volume des données à caractère personnel traitées et transférées par la suite (13). Pour appliquer ce principe, il serait préférable d’opter pour des architectures décentralisées ou semi-décentralisées limitant la communication des données de localisation à un point central, plutôt que pour des architectures centralisées.

| 23. | Les exemples précédents montrent que l’intégration du respect de la vie privée dès la conception dans les technologies de l’information et de la communication permettrait de réduire de manière significative les risques pesant sur la protection de la vie privée et la confidentialité des données. |
| --- | --- |

23.

Les exemples précédents montrent que l’intégration du respect de la vie privée dès la conception dans les technologies de l’information et de la communication permettrait de réduire de manière significative les risques pesant sur la protection de la vie privée et la confidentialité des données.

III.2.   Le recours aux TIC appliquant le principe de respect de la vie privée dès la conception est encore trop rare

| 24. | Il serait nécessaire de déterminer si les opérateurs économiques, les fabricants/fournisseurs de TIC et les responsables du traitement des données souhaitent promouvoir et mettre en œuvre le principe de respect de la vie privée dès la conception. Il conviendrait également d’évaluer la demande des utilisateurs à cet égard. |
| --- | --- |

24.

Il serait nécessaire de déterminer si les opérateurs économiques, les fabricants/fournisseurs de TIC et les responsables du traitement des données souhaitent promouvoir et mettre en œuvre le principe de respect de la vie privée dès la conception. Il conviendrait également d’évaluer la demande des utilisateurs à cet égard.

| 25. | En 2007, la Commission a publié une communication appelant les entreprises à utiliser leur capacité à innover pour créer et mettre en œuvre des PET (Privacy enhancing technologies: technologies renforçant la protection de la vie privée) afin d’améliorer la protection de la vie privée et la confidentialité des données à caractère personnel dès le début du cycle de développement des technologies (14). |
| --- | --- |

25.

En 2007, la Commission a publié une communication appelant les entreprises à utiliser leur capacité à innover pour créer et mettre en œuvre des PET (Privacy enhancing technologies: technologies renforçant la protection de la vie privée) afin d’améliorer la protection de la vie privée et la confidentialité des données à caractère personnel dès le début du cycle de développement des technologies (14).

| 26. | Cependant, les informations collectées montrent que ni les fabricants de dispositifs TIC ni les responsables du traitement des données (du secteur privé comme du secteur public) ne sont à ce jour parvenus à mettre en œuvre ou à distribuer de manière systématique le principe de respect de la vie privée dès la conception. Différents motifs sont évoqués, dont l’absence d’incitations économiques ou de soutien institutionnel, une demande insuffisante etc (15). |
| --- | --- |

26.

Cependant, les informations collectées montrent que ni les fabricants de dispositifs TIC ni les responsables du traitement des données (du secteur privé comme du secteur public) ne sont à ce jour parvenus à mettre en œuvre ou à distribuer de manière systématique le principe de respect de la vie privée dès la conception. Différents motifs sont évoqués, dont l’absence d’incitations économiques ou de soutien institutionnel, une demande insuffisante etc (15).

| 27. | Dans le même temps, la demande de technologies prenant en compte la vie privée dès la conception s’est avérée plutôt faible du côté des utilisateurs. Les utilisateurs de produits et services basés sur les TIC peuvent supposer à juste titre que leur vie privée et les données à caractère personnel les concernant sont de facto protégées, alors que souvent, ce n’est pas le cas. Parfois, ils ne sont tout simplement pas capables de prendre les mesures de sécurité qui permettraient de protéger leurs propres données ou celles qui concernent d’autres personnes. Cela résulte souvent du fait que les utilisateurs ne connaissent pas l’ensemble, voire une partie seulement, des risques encourus. Par exemple, les jeunes méconnaissent la plupart du temps les risques concernant leur vie privée lorsqu’ils affichent des informations personnelles sur les réseaux sociaux, et ignorent souvent les paramètres de confidentialité. D’autres utilisateurs connaissent ces risques mais n’ont pas le savoir-faire technique nécessaire pour mettre en place une véritable protection qui permettrait par exemple de protéger leur connexion internet, ou ne savent pas modifier les paramètres de leur navigateur afin de limiter les actions de «profiling» (surveillance des sites consultés sur internet). |
| --- | --- |

27.

Dans le même temps, la demande de technologies prenant en compte la vie privée dès la conception s’est avérée plutôt faible du côté des utilisateurs. Les utilisateurs de produits et services basés sur les TIC peuvent supposer à juste titre que leur vie privée et les données à caractère personnel les concernant sont de facto protégées, alors que souvent, ce n’est pas le cas. Parfois, ils ne sont tout simplement pas capables de prendre les mesures de sécurité qui permettraient de protéger leurs propres données ou celles qui concernent d’autres personnes. Cela résulte souvent du fait que les utilisateurs ne connaissent pas l’ensemble, voire une partie seulement, des risques encourus. Par exemple, les jeunes méconnaissent la plupart du temps les risques concernant leur vie privée lorsqu’ils affichent des informations personnelles sur les réseaux sociaux, et ignorent souvent les paramètres de confidentialité. D’autres utilisateurs connaissent ces risques mais n’ont pas le savoir-faire technique nécessaire pour mettre en place une véritable protection qui permettrait par exemple de protéger leur connexion internet, ou ne savent pas modifier les paramètres de leur navigateur afin de limiter les actions de «profiling» (surveillance des sites consultés sur internet).

| 28. | Toutefois, les risques qui pèsent sur la protection de la vie privée et des données qui les concernent sont bien réels. Lorsque la protection de la vie privée et des données n’est pas prise en compte dès le départ, il est par la suite souvent trop tard et trop coûteux pour rétablir le système et réparer les dégâts subis. Le nombre croissant de failles de sécurité constatées au cours des dernières années illustre parfaitement ce problème et renforce la nécessité de mettre en œuvre des systèmes fondés sur le principe de respect de la vie privée dès la conception. |
| --- | --- |

28.

Toutefois, les risques qui pèsent sur la protection de la vie privée et des données qui les concernent sont bien réels. Lorsque la protection de la vie privée et des données n’est pas prise en compte dès le départ, il est par la suite souvent trop tard et trop coûteux pour rétablir le système et réparer les dégâts subis. Le nombre croissant de failles de sécurité constatées au cours des dernières années illustre parfaitement ce problème et renforce la nécessité de mettre en œuvre des systèmes fondés sur le principe de respect de la vie privée dès la conception.

| 29. | Ceci indique clairement que les fabricants et les distributeurs de TIC conçues pour le traitement de données à caractère personnel devraient partager avec les responsables du traitement la responsabilité de concevoir des TIC munies d’outils intégrés de protection des données et de la vie privée, avec cette conséquence que les TIC devraient très souvent être conçues avec un paramétrage PhD. |
| --- | --- |

29.

Ceci indique clairement que les fabricants et les distributeurs de TIC conçues pour le traitement de données à caractère personnel devraient partager avec les responsables du traitement la responsabilité de concevoir des TIC munies d’outils intégrés de protection des données et de la vie privée, avec cette conséquence que les TIC devraient très souvent être conçues avec un paramétrage PhD.

| 30. | Dans ce contexte, nous devons réfléchir aux mesures que les décideurs politiques pourraient proposer pour promouvoir le principe de respect de la vie privée dès la conception dans le développement des TIC. Dans un premier temps, il convient de déterminer si le cadre législatif actuel sur la protection des données est apte à garantir la mise en œuvre du principe de respect de la vie privée dès la conception par les responsables du traitement des données et par les fabricants/développeurs. Ensuite, il convient de déterminer les mesures à prendre dans le cadre du programme numérique européen pour susciter la confiance des consommateurs à l’égard des TIC. |
| --- | --- |

30.

Dans ce contexte, nous devons réfléchir aux mesures que les décideurs politiques pourraient proposer pour promouvoir le principe de respect de la vie privée dès la conception dans le développement des TIC. Dans un premier temps, il convient de déterminer si le cadre législatif actuel sur la protection des données est apte à garantir la mise en œuvre du principe de respect de la vie privée dès la conception par les responsables du traitement des données et par les fabricants/développeurs. Ensuite, il convient de déterminer les mesures à prendre dans le cadre du programme numérique européen pour susciter la confiance des consommateurs à l’égard des TIC.

IV.   INTÉGRER LE PRINCIPE DE RESPECT DE LA VIE PRIVÉE DÈS LA CONCEPTION DANS LES TEXTES LÉGISLATIFS ET LES POLITIQUES COMMUNAUTAIRES

IV.1.   Le cadre juridique actuel relatif à la protection des données et de la vie privée

| 31. | L’UE s’est dotée d’une solide protection des données et de la vie privée en adoptant les directives 95/46/CE (16) et 2002/58/CE (17), d’une part, et la jurisprudence de la Cour européenne des droits de l’homme (18) et de la Cour de justice, d’autre part. |
| --- | --- |

31.

L’UE s’est dotée d’une solide protection des données et de la vie privée en adoptant les directives 95/46/CE (16) et 2002/58/CE (17), d’une part, et la jurisprudence de la Cour européenne des droits de l’homme (18) et de la Cour de justice, d’autre part.

| 32. | La directive sur la protection des données à caractère personnel s’applique à «tout traitement ou ensemble de traitements de données à caractère personnel» (collecte, conservation, communication, etc.). Elle impose le respect de certains principes et de certaines obligations aux personnes chargées du traitement de ces données («les responsables du traitement»). Elle prévoit des droits individuels tels que le droit d’accéder à ses propres informations personnelles. La directive «Vie privée et communications électroniques» traite en particulier de la protection de la vie privée dans le secteur des communications électroniques (19). |
| --- | --- |

32.

La directive sur la protection des données à caractère personnel s’applique à «tout traitement ou ensemble de traitements de données à caractère personnel» (collecte, conservation, communication, etc.). Elle impose le respect de certains principes et de certaines obligations aux personnes chargées du traitement de ces données («les responsables du traitement»). Elle prévoit des droits individuels tels que le droit d’accéder à ses propres informations personnelles. La directive «Vie privée et communications électroniques» traite en particulier de la protection de la vie privée dans le secteur des communications électroniques (19).

| 33. | La directive en vigueur sur la protection des données à caractère personnel n’exige pas explicitement d’instaurer le principe de respect de la vie privée dès la conception. Elle contient néanmoins des dispositions qui, dans certaines circonstances, pourraient indirectement exiger sa mise en œuvre. C’est notamment le cas de l’article 17 qui impose aux responsables du traitement des données de «mettre en œuvre les mesures techniques et d’organisation appropriées» pour prévenir tout traitement illicite (20). Le principe de respect de la vie privée dès la conception est donc partiellement couvert. En outre, les dispositions de la directive s’adressent principalement aux responsables du traitement des données et concernent avant tout leurs opérations de traitement de données à caractère personnel. Elles ne prévoient pas explicitement la conformité des TIC avec les exigences relatives à la protection de la vie privée et des données, ce qui impliquerait aussi les concepteurs et les fabricants de TIC, ainsi que les activités menées au stade de la normalisation. |
| --- | --- |

33.

La directive en vigueur sur la protection des données à caractère personnel n’exige pas explicitement d’instaurer le principe de respect de la vie privée dès la conception. Elle contient néanmoins des dispositions qui, dans certaines circonstances, pourraient indirectement exiger sa mise en œuvre. C’est notamment le cas de l’article 17 qui impose aux responsables du traitement des données de «mettre en œuvre les mesures techniques et d’organisation appropriées» pour prévenir tout traitement illicite (20). Le principe de respect de la vie privée dès la conception est donc partiellement couvert. En outre, les dispositions de la directive s’adressent principalement aux responsables du traitement des données et concernent avant tout leurs opérations de traitement de données à caractère personnel. Elles ne prévoient pas explicitement la conformité des TIC avec les exigences relatives à la protection de la vie privée et des données, ce qui impliquerait aussi les concepteurs et les fabricants de TIC, ainsi que les activités menées au stade de la normalisation.

| 34. | La directive «Vie privée et communications électroniques» est plus explicite à cet égard. Son article 14, paragraphe 3, dispose: «Au besoin, des mesures peuvent être adoptées afin de garantir que les équipements terminaux seront construits de manière compatible avec le droit des utilisateurs de protéger et de contrôler l’utilisation de leurs données à caractère personnel, conformément à la directive 1999/5/CE et à la décision 87/95/CEE du Conseil du 22 décembre 1986 relative à la normalisation dans le domaine des technologies de l’information et des télécommunications». Néanmoins, cette disposition n’a jamais été appliquée (21). |
| --- | --- |

34.

La directive «Vie privée et communications électroniques» est plus explicite à cet égard. Son article 14, paragraphe 3, dispose: «Au besoin, des mesures peuvent être adoptées afin de garantir que les équipements terminaux seront construits de manière compatible avec le droit des utilisateurs de protéger et de contrôler l’utilisation de leurs données à caractère personnel, conformément à la directive 1999/5/CE et à la décision 87/95/CEE du Conseil du 22 décembre 1986 relative à la normalisation dans le domaine des technologies de l’information et des télécommunications». Néanmoins, cette disposition n’a jamais été appliquée (21).

| 35. | Si les dispositions des deux directives sont utiles à la promotion du principe de protection de la vie privée dès la conception, en pratique, elles n’ont pas suffi à garantir l’intégration de mesures de protection de la vie privée dans les TIC. |
| --- | --- |

35.

Si les dispositions des deux directives sont utiles à la promotion du principe de protection de la vie privée dès la conception, en pratique, elles n’ont pas suffi à garantir l’intégration de mesures de protection de la vie privée dans les TIC.

| 36. | Il ressort de cette situation que le droit n’impose pas assez précisément une conception des TIC conforme au principe de respect de la vie privée dès la conception. Par ailleurs, les autorités chargées de la protection des données ne disposent pas des prérogatives nécessaires pour garantir cette intégration du principe de respect de la vie privée dès la conception. Il s’ensuit une certaine inefficacité. Ainsi par exemple, les autorités chargées de la protection des données peuvent être en mesure d’imposer une sanction en cas d’absence de réponse à une demande d’accès émanant d’un citoyen et sont habilitées à exiger la mise en œuvre de certaines mesures visant à prévenir le traitement illicite de données. Il n’est cependant pas toujours évident de savoir si ces autorités ont la faculté d’exiger qu’un système soit conçu de manière à faciliter les droits de protection des données à caractère personnel (22). Les textes juridiques actuels ne précisent pas, par exemple, s’il serait possible d’exiger qu’une architecture-système soit conçue de manière à faciliter la réponse des entreprises aux demandes d’accès formulées par les particuliers, de sorte que le traitement de ces demandes puisse être automatisé et plus rapide. Nous savons en outre qu’une fois qu’une technologie a été mise au point et distribuée, il est difficile de la modifier; les diverses tentatives dans ce sens risquent bien d’aboutir à un patchwork de solutions qui non seulement ne fonctionneront jamais correctement, mais auront aussi un coût élevé. |
| --- | --- |

36.

Il ressort de cette situation que le droit n’impose pas assez précisément une conception des TIC conforme au principe de respect de la vie privée dès la conception. Par ailleurs, les autorités chargées de la protection des données ne disposent pas des prérogatives nécessaires pour garantir cette intégration du principe de respect de la vie privée dès la conception. Il s’ensuit une certaine inefficacité. Ainsi par exemple, les autorités chargées de la protection des données peuvent être en mesure d’imposer une sanction en cas d’absence de réponse à une demande d’accès émanant d’un citoyen et sont habilitées à exiger la mise en œuvre de certaines mesures visant à prévenir le traitement illicite de données. Il n’est cependant pas toujours évident de savoir si ces autorités ont la faculté d’exiger qu’un système soit conçu de manière à faciliter les droits de protection des données à caractère personnel (22). Les textes juridiques actuels ne précisent pas, par exemple, s’il serait possible d’exiger qu’une architecture-système soit conçue de manière à faciliter la réponse des entreprises aux demandes d’accès formulées par les particuliers, de sorte que le traitement de ces demandes puisse être automatisé et plus rapide. Nous savons en outre qu’une fois qu’une technologie a été mise au point et distribuée, il est difficile de la modifier; les diverses tentatives dans ce sens risquent bien d’aboutir à un patchwork de solutions qui non seulement ne fonctionneront jamais correctement, mais auront aussi un coût élevé.

| 37. | Le CEPD recommande donc, à l’instar du groupe de travail Article 29, (23) de prévoir, dans le cadre législatif actuel, la possibilité d’adhérer plus précisément au principe de respect de la vie privée dès la conception. |
| --- | --- |

37.

Le CEPD recommande donc, à l’instar du groupe de travail Article 29, (23) de prévoir, dans le cadre législatif actuel, la possibilité d’adhérer plus précisément au principe de respect de la vie privée dès la conception.

IV.2.   L’intégration du principe de «respect de la vie privée dès la conception» à différents niveaux

| 38. | À la lumière de ce qui précède, le CEPD recommande quatre mesures à la Commission:






  a) | Proposer d’intégrer une disposition générale sur le respect de la vie privée dès la conception dans les textes juridiques relatifs à la protection des données. |
| --- | --- | --- |

38.

À la lumière de ce qui précède, le CEPD recommande quatre mesures à la Commission:

a)

Proposer d’intégrer une disposition générale sur le respect de la vie privée dès la conception dans les textes juridiques relatifs à la protection des données.

| b) | Formuler cette disposition générale sous forme de dispositions spécifiques lorsque différents instruments juridiques sont proposés, dans différents secteurs. Ces dispositions spécifiques pourraient déjà être intégrées dans l’appareil juridique, sur la base de l’article 17 de la directive sur la protection des données à caractère personnel (et d’autres textes législatifs). |
| --- | --- |

b)

Formuler cette disposition générale sous forme de dispositions spécifiques lorsque différents instruments juridiques sont proposés, dans différents secteurs. Ces dispositions spécifiques pourraient déjà être intégrées dans l’appareil juridique, sur la base de l’article 17 de la directive sur la protection des données à caractère personnel (et d’autres textes législatifs).

| c) | Inclure le principe de respect de la vie privée dès la conception dans le Programme numérique européen, en tant que principe directeur. |
| --- | --- |

c)

Inclure le principe de respect de la vie privée dès la conception dans le Programme numérique européen, en tant que principe directeur.

| d) | Introduire le principe de respect de la vie privée dès la conception en tant que principe dans d’autres initiatives communautaires (principalement des initiatives non législatives). |
| --- | --- |

d)

Introduire le principe de respect de la vie privée dès la conception en tant que principe dans d’autres initiatives communautaires (principalement des initiatives non législatives).

Une disposition générale sur le respect de la vie privée dès la conception

| 39. | Le CEPD propose d’intégrer le principe de respect de la vie privée dès la conception dans le cadre réglementaire actuel relatif à la protection des données, de manière explicite et non équivoque. Ceci permettrait de renforcer le principe de respect de la vie privée dès la conception, de le rendre plus explicite et d’imposer sa mise en œuvre effective, et donnerait aux autorités répressives une plus grande légitimité pour exiger qu’il soit de facto appliqué. Ceci semble particulièrement nécessaire au regard des faits précités: le principe joue non seulement un rôle important pour susciter la confiance des utilisateurs, mais aussi pour inciter les parties prenantes à mettre en œuvre le principe de respect de la vie privée dès la conception et améliorer les garanties prévues par le cadre juridique en vigueur. |
| --- | --- |

39.

Le CEPD propose d’intégrer le principe de respect de la vie privée dès la conception dans le cadre réglementaire actuel relatif à la protection des données, de manière explicite et non équivoque. Ceci permettrait de renforcer le principe de respect de la vie privée dès la conception, de le rendre plus explicite et d’imposer sa mise en œuvre effective, et donnerait aux autorités répressives une plus grande légitimité pour exiger qu’il soit de facto appliqué. Ceci semble particulièrement nécessaire au regard des faits précités: le principe joue non seulement un rôle important pour susciter la confiance des utilisateurs, mais aussi pour inciter les parties prenantes à mettre en œuvre le principe de respect de la vie privée dès la conception et améliorer les garanties prévues par le cadre juridique en vigueur.

| 40. | Cette proposition s’inspire de la recommandation formulée par le groupe de travail article 29 visant à faire du principe de «respect de la vie privée dès la conception» un principe général au sein du cadre législatif relatif à la protection des données, en l’intégrant notamment dans la directive sur la protection des données. Le groupe de travail article 29 a indiqué: «Ce principe devrait être contraignant pour les concepteurs et producteurs de technologies ainsi que pour les responsables du traitement des données chargés de l’achat et de l’utilisation des TIC. Ils devraient avoir l’obligation de prendre en compte la protection technologique des données dès la phase de planification des procédures et des systèmes technologiques d’information. Les fournisseurs de tels systèmes ou services et les responsables du traitement des données devraient démontrer qu’ils ont pris toutes les mesures requises pour remplir ces obligations». |
| --- | --- |

40.

Cette proposition s’inspire de la recommandation formulée par le groupe de travail article 29 visant à faire du principe de «respect de la vie privée dès la conception» un principe général au sein du cadre législatif relatif à la protection des données, en l’intégrant notamment dans la directive sur la protection des données. Le groupe de travail article 29 a indiqué: «Ce principe devrait être contraignant pour les concepteurs et producteurs de technologies ainsi que pour les responsables du traitement des données chargés de l’achat et de l’utilisation des TIC. Ils devraient avoir l’obligation de prendre en compte la protection technologique des données dès la phase de planification des procédures et des systèmes technologiques d’information. Les fournisseurs de tels systèmes ou services et les responsables du traitement des données devraient démontrer qu’ils ont pris toutes les mesures requises pour remplir ces obligations».

| 41. | Le CEPD salue également le soutien que la commissaire Viviane Reding a manifesté à l’égard du principe de respect de la vie privée dès la conception lorsqu’elle a annoncé le réexamen de la directive sur la protection des données (24). |
| --- | --- |

41.

Le CEPD salue également le soutien que la commissaire Viviane Reding a manifesté à l’égard du principe de respect de la vie privée dès la conception lorsqu’elle a annoncé le réexamen de la directive sur la protection des données (24).

| 42. | Examinons le contenu de cette directive. Tout d’abord, un principe général de respect de la vie privée dès la conception se doit d’être neutre sur le plan technologique. Il ne doit pas avoir pour fin de réglementer la technologie, c’est-à-dire qu’il n’est pas supposé prescrire de solution technique spécifique. Il doit au contraire favoriser l’intégration des principes relatifs à la protection de la vie privée et des données existants dans les systèmes et solutions d’information et de communication. Les parties prenantes, les fabricants, les responsables du traitement des données et les autorités chargées de la protection des données devraient être en mesure d’interpréter le principe dans chaque situation particulière. Deuxièmement, le respect du principe devrait être obligatoire à différents stades, de l’élaboration de normes et d’une architecture à leur mise en place par le responsable du traitement des données. |
| --- | --- |

42.

Examinons le contenu de cette directive. Tout d’abord, un principe général de respect de la vie privée dès la conception se doit d’être neutre sur le plan technologique. Il ne doit pas avoir pour fin de réglementer la technologie, c’est-à-dire qu’il n’est pas supposé prescrire de solution technique spécifique. Il doit au contraire favoriser l’intégration des principes relatifs à la protection de la vie privée et des données existants dans les systèmes et solutions d’information et de communication. Les parties prenantes, les fabricants, les responsables du traitement des données et les autorités chargées de la protection des données devraient être en mesure d’interpréter le principe dans chaque situation particulière. Deuxièmement, le respect du principe devrait être obligatoire à différents stades, de l’élaboration de normes et d’une architecture à leur mise en place par le responsable du traitement des données.

Les dispositions des instruments juridiques spécifiques

| 43. | Les textes réglementaires actuels et à venir doivent intégrer le principe de respect de la vie privée dès la conception en tenant compte du cadre législatif en place et des dispositions générales précitées, une fois qu’elles auront été adoptées. Si l’on se réfère aux initiatives actuelles, par exemple dans le domaine des systèmes de transport intelligents, on peut supposer que la Commission assumera la responsabilité spécifique initiale de définir des mesures, de prendre des initiatives de normalisation et d’adopter des procédures et des bonnes pratiques dans ce domaine. Le principe de respect de la vie privée dès la conception sera un principe directeur au cours de ce processus. |
| --- | --- |

43.

Les textes réglementaires actuels et à venir doivent intégrer le principe de respect de la vie privée dès la conception en tenant compte du cadre législatif en place et des dispositions générales précitées, une fois qu’elles auront été adoptées. Si l’on se réfère aux initiatives actuelles, par exemple dans le domaine des systèmes de transport intelligents, on peut supposer que la Commission assumera la responsabilité spécifique initiale de définir des mesures, de prendre des initiatives de normalisation et d’adopter des procédures et des bonnes pratiques dans ce domaine. Le principe de respect de la vie privée dès la conception sera un principe directeur au cours de ce processus.

| 44. | Le CEPD remarque ensuite que le principe de respect de la vie privée dès la conception joue également un rôle particulier dans le domaine des libertés, de la sécurité et de la justice, notamment en ce qui concerne les objectifs de la stratégie de gestion de l’information tels qu’énoncés dans le programme de Stockholm (25). Dans son avis relatif au programme de Stockholm, le CEPD a souligné que l’architecture des échanges d’informations devrait reposer sur le principe de respect de la vie privée dès la conception (26): «(...) ce qui signifie plus concrètement que les systèmes d’information élaborés à des fins de sécurité publique devraient toujours être construits conformément au principe de la “prise en compte du respect de la vie privée dès la conception”». |
| --- | --- |

44.

Le CEPD remarque ensuite que le principe de respect de la vie privée dès la conception joue également un rôle particulier dans le domaine des libertés, de la sécurité et de la justice, notamment en ce qui concerne les objectifs de la stratégie de gestion de l’information tels qu’énoncés dans le programme de Stockholm (25). Dans son avis relatif au programme de Stockholm, le CEPD a souligné que l’architecture des échanges d’informations devrait reposer sur le principe de respect de la vie privée dès la conception (26): «(...) ce qui signifie plus concrètement que les systèmes d’information élaborés à des fins de sécurité publique devraient toujours être construits conformément au principe de la “prise en compte du respect de la vie privée dès la conception”».

| 45. | L’avis du groupe de travail article 29 sur l’avenir de la protection de la vie privée (27) insiste encore plus précisément sur le fait que dans le domaine des libertés, de la sécurité et de la justice (dans lequel les autorités publiques jouent le rôle principal et dans lequel le renforcement de la surveillance a un impact direct sur le droit fondamental au respect de la vie privée et de la confidentialité des données à caractère personnel), le principe de respect de la vie privée dès la conception devrait être obligatoirement appliqué. En l’introduisant dans les systèmes d’information, les gouvernements montreront l’exemple. |
| --- | --- |

45.

L’avis du groupe de travail article 29 sur l’avenir de la protection de la vie privée (27) insiste encore plus précisément sur le fait que dans le domaine des libertés, de la sécurité et de la justice (dans lequel les autorités publiques jouent le rôle principal et dans lequel le renforcement de la surveillance a un impact direct sur le droit fondamental au respect de la vie privée et de la confidentialité des données à caractère personnel), le principe de respect de la vie privée dès la conception devrait être obligatoirement appliqué. En l’introduisant dans les systèmes d’information, les gouvernements montreront l’exemple.

Le respect de la vie privée dès la conception: un principe directeur du programme numérique européen

| 46. | Les technologies de l’information et de la communication sont de plus en plus complexes et comportent des risques accrus pour la protection de la vie privée et la confidentialité des données. En général, les informations au format numérique sont plus faciles à consulter, copier et transmettre mais aussi exposées à des risques bien plus importants que les informations sur papier. À mesure que nous évoluerons vers des réseaux d’objets interconnectés, les risques augmenteront. Plus les risques pesant sur la protection de la vie privée et des données seront élevés, plus la demande de garanties dans ce domaine sera élevée. La mise en œuvre du principe de respect de la vie privée dès la conception est dès lors d’autant plus justifiée dans le secteur des TIC. En outre, comme nous l’avons déjà mentionné, il est indispensable que les citoyens fassent confiance aux TIC pour adopter les nouveaux services qui leurs sont proposés. La protection de la vie privée et des données est un élément clé pour obtenir cette confiance. |
| --- | --- |

46.

Les technologies de l’information et de la communication sont de plus en plus complexes et comportent des risques accrus pour la protection de la vie privée et la confidentialité des données. En général, les informations au format numérique sont plus faciles à consulter, copier et transmettre mais aussi exposées à des risques bien plus importants que les informations sur papier. À mesure que nous évoluerons vers des réseaux d’objets interconnectés, les risques augmenteront. Plus les risques pesant sur la protection de la vie privée et des données seront élevés, plus la demande de garanties dans ce domaine sera élevée. La mise en œuvre du principe de respect de la vie privée dès la conception est dès lors d’autant plus justifiée dans le secteur des TIC. En outre, comme nous l’avons déjà mentionné, il est indispensable que les citoyens fassent confiance aux TIC pour adopter les nouveaux services qui leurs sont proposés. La protection de la vie privée et des données est un élément clé pour obtenir cette confiance.

| 47. | Il découle de ce qui précède que toute stratégie de développement des TIC devra tenir compte de la nécessité d’intégrer un élément inhérent de protection de la vie privée et des données, c’est-à-dire le principe du respect de la vie privée dès la conception. |
| --- | --- |

47.

Il découle de ce qui précède que toute stratégie de développement des TIC devra tenir compte de la nécessité d’intégrer un élément inhérent de protection de la vie privée et des données, c’est-à-dire le principe du respect de la vie privée dès la conception.

| 48. | Le programme numérique européen devrait donc souscrire sans réserve à ce principe car il s’agit d’un élément indispensable pour obtenir la confiance des citoyens à l’égard des TIC et des services en ligne. Il devrait aussi reconnaître que vie privée et confiance vont de pair, et que le respect de la vie privée dès la conception est un principe directeur pour le développement d’un secteur TIC digne de confiance. |
| --- | --- |

48.

Le programme numérique européen devrait donc souscrire sans réserve à ce principe car il s’agit d’un élément indispensable pour obtenir la confiance des citoyens à l’égard des TIC et des services en ligne. Il devrait aussi reconnaître que vie privée et confiance vont de pair, et que le respect de la vie privée dès la conception est un principe directeur pour le développement d’un secteur TIC digne de confiance.

Le principe du respect de la vie privée dès la conception au sein des autres initiatives de l’UE

| 49. | La Commission devrait adopter le principe comme principe directeur lors de la mise en œuvre de ses politiques, activités et initiatives dans certains secteurs spécifiques des TIC, notamment: eSanté, eApprovisionnement, eSécurité sociale, eLearning, etc. Nombre de ces initiatives figureront dans le programme numérique européen. |
| --- | --- |

49.

La Commission devrait adopter le principe comme principe directeur lors de la mise en œuvre de ses politiques, activités et initiatives dans certains secteurs spécifiques des TIC, notamment: eSanté, eApprovisionnement, eSécurité sociale, eLearning, etc. Nombre de ces initiatives figureront dans le programme numérique européen.

| 50. | Cela signifie par exemple que les initiatives visant à accroître l’efficacité et la modernité des applications publiques permettant aux citoyens d’entrer en contact avec les différentes administrations devront intégrer le principe et s’y conformer. Il en va de même pour les politiques et les activités de la Commission dans plusieurs domaines: rapidité de l’internet, contenus numériques, amélioration des communications fixes et sans fil, et transmission de données. |
| --- | --- |

50.

Cela signifie par exemple que les initiatives visant à accroître l’efficacité et la modernité des applications publiques permettant aux citoyens d’entrer en contact avec les différentes administrations devront intégrer le principe et s’y conformer. Il en va de même pour les politiques et les activités de la Commission dans plusieurs domaines: rapidité de l’internet, contenus numériques, amélioration des communications fixes et sans fil, et transmission de données.

| 51. | Une telle approche inclut les systèmes informatiques de grande envergure tels que SIS et VIS gérés par la Commission, ainsi que les projets pour lesquels la responsabilité de la Commission se limite au développement et à la maintenance de l’infrastructure commune d’un tel système (par exemple ECRIS, le système européen d’information sur les casiers judiciaires). |
| --- | --- |

51.

Une telle approche inclut les systèmes informatiques de grande envergure tels que SIS et VIS gérés par la Commission, ainsi que les projets pour lesquels la responsabilité de la Commission se limite au développement et à la maintenance de l’infrastructure commune d’un tel système (par exemple ECRIS, le système européen d’information sur les casiers judiciaires).

| 52. | La manière précise dont le principe de respect de la vie privée dès la conception sera développé dépendra de chaque secteur et de chaque situation particulière. Par exemple, lorsque les initiatives de la Commission seront accompagnées d’une proposition de loi concernant un secteur TIC spécifique, il sera souvent judicieux d’y faire figurer une mention spéciale indiquant la possibilité d’appliquer le principe de respect de la vie privée dès la conception de l’application/du système TIC concerné. Si un plan d’action est envisagé dans un domaine spécifique, il devra systématiquement garantir que le cadre légal est respecté et, plus précisément, que la technologie TIC concernée a été conçue en tenant compte du principe de respect de la vie privée dès la conception. |
| --- | --- |

52.

La manière précise dont le principe de respect de la vie privée dès la conception sera développé dépendra de chaque secteur et de chaque situation particulière. Par exemple, lorsque les initiatives de la Commission seront accompagnées d’une proposition de loi concernant un secteur TIC spécifique, il sera souvent judicieux d’y faire figurer une mention spéciale indiquant la possibilité d’appliquer le principe de respect de la vie privée dès la conception de l’application/du système TIC concerné. Si un plan d’action est envisagé dans un domaine spécifique, il devra systématiquement garantir que le cadre légal est respecté et, plus précisément, que la technologie TIC concernée a été conçue en tenant compte du principe de respect de la vie privée dès la conception.

| 53. | En ce qui concerne la recherche, le septième programme-cadre et les programmes suivants devraient servir de support à des projets qui visent à rechercher les normes, les technologies et l’architecture TIC les plus utiles pour la protection de la vie privée et, plus précisément, pour l’application du principe de respect de la vie privée dès la conception. En outre, le principe devrait être pris en compte dans des projets TIC plus larges prévoyant le traitement de données à caractère personnel. |
| --- | --- |

53.

En ce qui concerne la recherche, le septième programme-cadre et les programmes suivants devraient servir de support à des projets qui visent à rechercher les normes, les technologies et l’architecture TIC les plus utiles pour la protection de la vie privée et, plus précisément, pour l’application du principe de respect de la vie privée dès la conception. En outre, le principe devrait être pris en compte dans des projets TIC plus larges prévoyant le traitement de données à caractère personnel.

Domaines particuliers

| 54. | Dans certains cas, en raison de risques particuliers pesant sur la vie privée et la confidentialité des données, ou en raison d’autres éléments (réticence des entreprises à fournir des produits respectant la vie privée dès la conception, demande des consommateurs, etc.), il peut s’avérer nécessaire de définir des mesures de respect de la vie privée dès la conception plus explicites et spécifiques qui seront alors intégrées dans un type donné de produit/technologie TIC, que ce soit ou non dans un cadre législatif. |
| --- | --- |

54.

Dans certains cas, en raison de risques particuliers pesant sur la vie privée et la confidentialité des données, ou en raison d’autres éléments (réticence des entreprises à fournir des produits respectant la vie privée dès la conception, demande des consommateurs, etc.), il peut s’avérer nécessaire de définir des mesures de respect de la vie privée dès la conception plus explicites et spécifiques qui seront alors intégrées dans un type donné de produit/technologie TIC, que ce soit ou non dans un cadre législatif.

| 55. | Le CEPD a identifié trois domaines, à savoir la RFID, les réseaux sociaux et les applications de navigation, que la Commission devrait examiner attentivement avec les mesures d’intervention directe précédemment exposées. Ces trois domaines sont présentés plus en détails ci-dessous. |
| --- | --- |

55.

Le CEPD a identifié trois domaines, à savoir la RFID, les réseaux sociaux et les applications de navigation, que la Commission devrait examiner attentivement avec les mesures d’intervention directe précédemment exposées. Ces trois domaines sont présentés plus en détails ci-dessous.

V.   L’IDENTIFICATION PAR RADIOFRÉQUENCE (RFID)

| 56. | Les micropuces RFID peuvent être insérées dans des objets ou placées sur des animaux et des personnes. Elles peuvent être utilisées pour recueillir et conserver des données à caractère personnel telles que des dossiers médicaux, pour suivre les mouvements des personnes ou établir leur profil comportemental, à différentes fins. Ceci peut être réalisé sans que la personne concernée n’en soit consciente (28). |
| --- | --- |

56.

Les micropuces RFID peuvent être insérées dans des objets ou placées sur des animaux et des personnes. Elles peuvent être utilisées pour recueillir et conserver des données à caractère personnel telles que des dossiers médicaux, pour suivre les mouvements des personnes ou établir leur profil comportemental, à différentes fins. Ceci peut être réalisé sans que la personne concernée n’en soit consciente (28).

| 57. | Des garanties efficaces relatives à la protection des données, de la vie privée et à l’ensemble des dimensions éthiques associées sont cruciales pour susciter la confiance du public à l’égard de la RFID et du futur internet des objets. Ce n’est que dans ces conditions que la technologie pourra apporter ses nombreux avantages économiques et sociaux. |
| --- | --- |

57.

Des garanties efficaces relatives à la protection des données, de la vie privée et à l’ensemble des dimensions éthiques associées sont cruciales pour susciter la confiance du public à l’égard de la RFID et du futur internet des objets. Ce n’est que dans ces conditions que la technologie pourra apporter ses nombreux avantages économiques et sociaux.

V.1.   Les failles du cadre juridique actuel relatif à la protection des données

| 58. | La directive sur la protection des données et la directive «Vie privée et communications électroniques» s’appliquent à la collecte de données par l’intermédiaire d’applications RFID (29). Elles imposent notamment la mise en œuvre de garanties appropriées en matière de protection de la vie privée avant d’exploiter les applications RFID (30). |
| --- | --- |

58.

La directive sur la protection des données et la directive «Vie privée et communications électroniques» s’appliquent à la collecte de données par l’intermédiaire d’applications RFID (29). Elles imposent notamment la mise en œuvre de garanties appropriées en matière de protection de la vie privée avant d’exploiter les applications RFID (30).

| 59. | Néanmoins, ce cadre juridique ne répond pas entièrement aux questions que soulève cette technologie en matière de protection des données et de la vie privée. En effet, les directives ne sont pas suffisamment précises en ce qui concerne le genre de garanties qui devraient être mises en œuvre avec les applications RFID. Les règles existantes doivent être complétées par de nouvelles dispositions qui imposeraient des garanties spécifiques, rendant notamment obligatoire le fait d’intégrer des solutions technologiques (privacy by design) dans la technologie RFID. Ceci concerne les micropuces d’identification qui stockent des informations personnelles: elles devraient être dotées de «kill commands» (commandes permettant de terminer un processus) et de fonctions de cryptographie pour les micropuces qui recueillent certains types d’informations. |
| --- | --- |

59.

Néanmoins, ce cadre juridique ne répond pas entièrement aux questions que soulève cette technologie en matière de protection des données et de la vie privée. En effet, les directives ne sont pas suffisamment précises en ce qui concerne le genre de garanties qui devraient être mises en œuvre avec les applications RFID. Les règles existantes doivent être complétées par de nouvelles dispositions qui imposeraient des garanties spécifiques, rendant notamment obligatoire le fait d’intégrer des solutions technologiques (privacy by design) dans la technologie RFID. Ceci concerne les micropuces d’identification qui stockent des informations personnelles: elles devraient être dotées de «kill commands» (commandes permettant de terminer un processus) et de fonctions de cryptographie pour les micropuces qui recueillent certains types d’informations.

V.2.   L’auto-régulation comme première étape

| 60. | En mars 2007, la Commission a adopté une communication (31) qui reconnaissait, entre autres, la nécessité d’élaborer des lignes directrices détaillées sur la mise en œuvre concrète de la RFID, et l’opportunité d’adopter des critères de conception destinés à éviter les risques pesant sur la vie privée et la sécurité des données. |
| --- | --- |

60.

En mars 2007, la Commission a adopté une communication (31) qui reconnaissait, entre autres, la nécessité d’élaborer des lignes directrices détaillées sur la mise en œuvre concrète de la RFID, et l’opportunité d’adopter des critères de conception destinés à éviter les risques pesant sur la vie privée et la sécurité des données.

| 61. | Pour atteindre ces objectifs, la Commission a adopté en mai 2009 une recommandation sur «la mise en œuvre des principes de protection de la vie privée et des données personnelles dans les applications fondées sur la RFID» (32). Dans le commerce de détail, elle demande que les micropuces soient désactivées sur le point de vente, sauf si les consommateurs ne le souhaitent pas. Ceci s’appliquera sauf si une évaluation de l’impact sur la protection de la vie privée et des données montre que les micropuces d’identification ne représentent pas une menace potentielle pour la vie privée et les données à caractère personnel, auquel cas les applications RFID resteront opérationnelles après le point de vente (excepté si les personnes concernées s’y opposent, ce qui peut être fait gratuitement). |
| --- | --- |

61.

Pour atteindre ces objectifs, la Commission a adopté en mai 2009 une recommandation sur «la mise en œuvre des principes de protection de la vie privée et des données personnelles dans les applications fondées sur la RFID» (32). Dans le commerce de détail, elle demande que les micropuces soient désactivées sur le point de vente, sauf si les consommateurs ne le souhaitent pas. Ceci s’appliquera sauf si une évaluation de l’impact sur la protection de la vie privée et des données montre que les micropuces d’identification ne représentent pas une menace potentielle pour la vie privée et les données à caractère personnel, auquel cas les applications RFID resteront opérationnelles après le point de vente (excepté si les personnes concernées s’y opposent, ce qui peut être fait gratuitement).

| 62. | Les CEPD est favorable à l’approche d’auto-régulation préconisée par la Commission. Cependant, comme nous le verrons plus en détail ci-après, l’auto-régulation pourrait ne pas apporter les résultats souhaités; le CEPD recommande donc à la Commission de se tenir prête à adopter des mesures alternatives. |
| --- | --- |

62.

Les CEPD est favorable à l’approche d’auto-régulation préconisée par la Commission. Cependant, comme nous le verrons plus en détail ci-après, l’auto-régulation pourrait ne pas apporter les résultats souhaités; le CEPD recommande donc à la Commission de se tenir prête à adopter des mesures alternatives.

V.3.   Domaines particuliers et éventuelles mesures complémentaires à prendre en cas d’échec de l’auto-régulation

| 63. | Le CEPD se demande si les organisations qui exploitent des applications RFID dans le secteur du détail ne vont pas négliger la possibilité que ces micropuces donnent lieu à une surveillance non souhaitée par des tiers. Cette surveillance pourrait révéler des données à caractère personnel stockées dans la micropuce (le cas échéant) mais pourrait aussi permettre à un tiers de suivre ou reconnaître une personne à long terme, simplement en utilisant les identificateurs uniques contenus dans une ou plusieurs micropuces portées par un individu dans des lieux pouvant même aller au-delà du périmètre opérationnel de l’application RFID. Il est également préoccupé par le fait que les opérateurs d’applications RFID pourraient parfois être tentés, à tort, de laisser la micropuce fonctionner après le point de vente. |
| --- | --- |

63.

Le CEPD se demande si les organisations qui exploitent des applications RFID dans le secteur du détail ne vont pas négliger la possibilité que ces micropuces donnent lieu à une surveillance non souhaitée par des tiers. Cette surveillance pourrait révéler des données à caractère personnel stockées dans la micropuce (le cas échéant) mais pourrait aussi permettre à un tiers de suivre ou reconnaître une personne à long terme, simplement en utilisant les identificateurs uniques contenus dans une ou plusieurs micropuces portées par un individu dans des lieux pouvant même aller au-delà du périmètre opérationnel de l’application RFID. Il est également préoccupé par le fait que les opérateurs d’applications RFID pourraient parfois être tentés, à tort, de laisser la micropuce fonctionner après le point de vente.

| 64. | Si cela se produisait, il serait trop tard pour limiter les risques pesant sur la protection des données à caractère personnel et de la vie privée, celles-ci pouvant avoir été déjà affectées. De plus, compte tenu de la nature de l’auto-régulation, les autorités nationales répressives pourraient se trouver dans une position de faiblesse au moment de demander aux organisations opérant des applications RFID de mettre en œuvre des mesures de respect de la vie privée dès la conception. |
| --- | --- |

64.

Si cela se produisait, il serait trop tard pour limiter les risques pesant sur la protection des données à caractère personnel et de la vie privée, celles-ci pouvant avoir été déjà affectées. De plus, compte tenu de la nature de l’auto-régulation, les autorités nationales répressives pourraient se trouver dans une position de faiblesse au moment de demander aux organisations opérant des applications RFID de mettre en œuvre des mesures de respect de la vie privée dès la conception.

| 65. | Dès lors, le CEPD recommande à la Commission de se préparer à faire des propositions de loi pour réglementer les principaux aspects de l’utilisation de dispositifs RFID en cas d’échec de la mise en œuvre effective du cadre juridique actuel. Il ne semble pas opportun de reporter l’évaluation de la Commission car cela ferait courir des risques aux citoyens et serait contreproductif pour l’industrie, les incertitudes juridiques étant en effet trop nombreuses. Il serait alors plus difficile et plus coûteux de résoudre certains problèmes compliqués. |
| --- | --- |

65.

Dès lors, le CEPD recommande à la Commission de se préparer à faire des propositions de loi pour réglementer les principaux aspects de l’utilisation de dispositifs RFID en cas d’échec de la mise en œuvre effective du cadre juridique actuel. Il ne semble pas opportun de reporter l’évaluation de la Commission car cela ferait courir des risques aux citoyens et serait contreproductif pour l’industrie, les incertitudes juridiques étant en effet trop nombreuses. Il serait alors plus difficile et plus coûteux de résoudre certains problèmes compliqués.

| 66. | Parmi les mesures susceptibles d’être proposées, le CEPD recommande de prévoir un principe d’adhésion (opt-in) au point de vente. Selon ce principe, toutes les micropuces placées sur les produits de consommation seraient désactivées par défaut sur le point de vente. Il ne semble pas nécessaire ou opportun que la Commission précise la technologie spécifique à utiliser. Il serait plus approprié que la législation communautaire impose l’obligation légale d’obtenir l’adhésion des consommateurs, ce qui laisserait une certaine marge de manœuvre aux opérateurs pour décider de la façon dont ils souhaitent mettre en œuvre cette exigence. |
| --- | --- |

66.

Parmi les mesures susceptibles d’être proposées, le CEPD recommande de prévoir un principe d’adhésion (opt-in) au point de vente. Selon ce principe, toutes les micropuces placées sur les produits de consommation seraient désactivées par défaut sur le point de vente. Il ne semble pas nécessaire ou opportun que la Commission précise la technologie spécifique à utiliser. Il serait plus approprié que la législation communautaire impose l’obligation légale d’obtenir l’adhésion des consommateurs, ce qui laisserait une certaine marge de manœuvre aux opérateurs pour décider de la façon dont ils souhaitent mettre en œuvre cette exigence.

V.4.   Autres questions à prendre en compte: la gouvernance de l’internet des objets

| 67. | Les informations générées par les micropuces RFID (par exemple, des informations sur les produits) pourraient à terme être interconnectées à un réseau mondial de communications. C’est ce que l’on appelle généralement l’«internet des objets». La question de la protection des données et de la vie privée est soulevée car les objets du monde réel peuvent être identifiés par les micropuces RFID, révélant alors, outre les informations sur les produits, des données à caractère personnel. |
| --- | --- |

67.

Les informations générées par les micropuces RFID (par exemple, des informations sur les produits) pourraient à terme être interconnectées à un réseau mondial de communications. C’est ce que l’on appelle généralement l’«internet des objets». La question de la protection des données et de la vie privée est soulevée car les objets du monde réel peuvent être identifiés par les micropuces RFID, révélant alors, outre les informations sur les produits, des données à caractère personnel.

| 68. | De nombreuses questions se posent encore quant à la responsabilité du stockage des informations générées par les micropuces. De quelle manière ce stockage sera-t-il organisé? Qui aura accès aux informations? En juin 2009, la Commission a adopté une communication sur l’internet des objets (33) qui identifiait clairement les problèmes potentiels de protection des données et de la vie privée liés à ce phénomène. |
| --- | --- |

68.

De nombreuses questions se posent encore quant à la responsabilité du stockage des informations générées par les micropuces. De quelle manière ce stockage sera-t-il organisé? Qui aura accès aux informations? En juin 2009, la Commission a adopté une communication sur l’internet des objets (33) qui identifiait clairement les problèmes potentiels de protection des données et de la vie privée liés à ce phénomène.

| 69. | Le CEPD souhaite souligner certains points soulevés par la communication qui, selon lui, mériteront un examen attentif à mesure que l’internet des objets se développera. En premier lieu, une architecture décentralisée pourrait améliorer la transparence et l’applicabilité du cadre juridique communautaire. En second lieu, il est nécessaire de protéger autant que possible le droit des personnes à ne pas être suivies. En d’autres termes, le nombre de personnes suivies à l’aide d’une micropuce RFID sans l’avoir souhaité devrait être très limité. En effet, les personnes doivent adhérer explicitement. Ce dispositif est généralement appelé «droit de rester seul» ou «silence des micropuces». Enfin, dans la mise en place de l’internet des objets, la prise en compte de la vie privée dès la conception devrait être un principe directeur. Cela imposerait par exemple que des applications RFID dotées de mécanismes internes de prise de contrôle par les utilisateurs, soient dotées, dès leur conception, d’un paramétrage par défaut favorable au respect de la vie privée. |
| --- | --- |

69.

Le CEPD souhaite souligner certains points soulevés par la communication qui, selon lui, mériteront un examen attentif à mesure que l’internet des objets se développera. En premier lieu, une architecture décentralisée pourrait améliorer la transparence et l’applicabilité du cadre juridique communautaire. En second lieu, il est nécessaire de protéger autant que possible le droit des personnes à ne pas être suivies. En d’autres termes, le nombre de personnes suivies à l’aide d’une micropuce RFID sans l’avoir souhaité devrait être très limité. En effet, les personnes doivent adhérer explicitement. Ce dispositif est généralement appelé «droit de rester seul» ou «silence des micropuces». Enfin, dans la mise en place de l’internet des objets, la prise en compte de la vie privée dès la conception devrait être un principe directeur. Cela imposerait par exemple que des applications RFID dotées de mécanismes internes de prise de contrôle par les utilisateurs, soient dotées, dès leur conception, d’un paramétrage par défaut favorable au respect de la vie privée.

| 70. | Le CEPD souhaiterait être consulté par la Commission au moment du déploiement des mesures envisagées dans la communication, en particulier pour la rédaction de la communication sur la vie privée et la confiance, dans une société de l’information omniprésente. |
| --- | --- |

70.

Le CEPD souhaiterait être consulté par la Commission au moment du déploiement des mesures envisagées dans la communication, en particulier pour la rédaction de la communication sur la vie privée et la confiance, dans une société de l’information omniprésente.

VI.   LES RÉSEAUX SOCIAUX ET L’IMPORTANCE DU PARAMÉTRAGE PAR DÉFAUT FAVORABLE AU RESPECT DE LA VIE PRIVÉE

| 71. | Les réseaux sociaux s’inscrivent «dans la tendance». Leur popularité semble avoir dépassé celle du courriel. Ils permettent à des personnes qui partagent certains intérêts et/ou activités de nouer des liens. Les utilisateurs peuvent afficher leur profil en ligne et partager des contenus multimédias tels que des vidéos, des photos, de la musique, ainsi que leur profil professionnel. |
| --- | --- |

71.

Les réseaux sociaux s’inscrivent «dans la tendance». Leur popularité semble avoir dépassé celle du courriel. Ils permettent à des personnes qui partagent certains intérêts et/ou activités de nouer des liens. Les utilisateurs peuvent afficher leur profil en ligne et partager des contenus multimédias tels que des vidéos, des photos, de la musique, ainsi que leur profil professionnel.

| 72. | Les jeunes ont rapidement adopté la socialisation en ligne et cette tendance se confirme. En Europe, l’âge moyen des internautes a baissé au cours des dernières années: les 9-10 ans se connectent désormais plusieurs fois par semaine, et les 12-14, tous les jours, pour une durée de une à trois heures. |
| --- | --- |

72.

Les jeunes ont rapidement adopté la socialisation en ligne et cette tendance se confirme. En Europe, l’âge moyen des internautes a baissé au cours des dernières années: les 9-10 ans se connectent désormais plusieurs fois par semaine, et les 12-14, tous les jours, pour une durée de une à trois heures.

VI.1.   Les réseaux sociaux et le cadre juridique applicable pour la protection et la confidentialité des données

| 73. | Le développement des réseaux sociaux permet aux utilisateurs de poster sur internet des informations qui les concernent ou concernent des tiers. Ce faisant, selon le groupe de travail article 29 (34), les internautes agissent comme des «responsables du traitement des données» tel que ce terme est défini à l’article 2, point d), de la directive relative à la protection des données, en ce qui concerne les données qu’ils téléchargent vers internet (35). Cependant, dans la majorité des cas, ce type de traitement relève de l’exception prévue à l’article 3, paragraphe 2, de la directive: «traitement effectué par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques». Parallèlement, les services de socialisation en ligne sont considérés comme des responsables du traitement des données puisqu’ils fournissent les moyens de traiter les données provenant des utilisateurs et l’ensemble des services de base de gestion des utilisateurs (par exemple l’enregistrement et la suppression de comptes). |
| --- | --- |

73.

Le développement des réseaux sociaux permet aux utilisateurs de poster sur internet des informations qui les concernent ou concernent des tiers. Ce faisant, selon le groupe de travail article 29 (34), les internautes agissent comme des «responsables du traitement des données» tel que ce terme est défini à l’article 2, point d), de la directive relative à la protection des données, en ce qui concerne les données qu’ils téléchargent vers internet (35). Cependant, dans la majorité des cas, ce type de traitement relève de l’exception prévue à l’article 3, paragraphe 2, de la directive: «traitement effectué par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques». Parallèlement, les services de socialisation en ligne sont considérés comme des responsables du traitement des données puisqu’ils fournissent les moyens de traiter les données provenant des utilisateurs et l’ensemble des services de base de gestion des utilisateurs (par exemple l’enregistrement et la suppression de comptes).

| 74. | En termes juridiques, cela signifie que les internautes et les services de socialisation en ligne partagent la responsabilité du traitement des données à caractère personnel en tant que «responsables du traitement des données», tel que ce terme est défini à l’article 2, point d), de la directive, à des degrés différents, et avec des obligations différentes. |
| --- | --- |

74.

En termes juridiques, cela signifie que les internautes et les services de socialisation en ligne partagent la responsabilité du traitement des données à caractère personnel en tant que «responsables du traitement des données», tel que ce terme est défini à l’article 2, point d), de la directive, à des degrés différents, et avec des obligations différentes.

| 75. | Dès lors, les utilisateurs devraient réaliser et comprendre qu’en traitant leurs propres données et celles d’autres personnes, ils tombent sous le coup de la législation communautaire sur la protection des données, laquelle impose notamment d’obtenir le consentement éclairé des personnes concernées et de leur accorder un droit de rectification, de contestation, etc. De même, les services de socialisation en ligne doivent, entre autres choses, mettre en œuvre les mesures techniques et d’organisation appropriées pour prévenir tout traitement non autorisé, en tenant compte des risques présentés par le traitement et de la nature des données. Cela signifie par conséquent que les services de socialisation en ligne devraient être dotés d’un paramétrage par défaut favorable au respect de la vie privée, y compris un paramétrage restreignant l’accès au profil d’utilisateur aux contacts personnels et sélectionnés par l’utilisateur lui-même. Le paramétrage devrait aussi demander le consentement de la personne concernée avant de rendre son profil d’utilisateur accessible à des tiers, et les profils d’utilisateur à accès restreint ne devraient pas pouvoir être consultés à partir de moteurs de recherche. |
| --- | --- |

75.

Dès lors, les utilisateurs devraient réaliser et comprendre qu’en traitant leurs propres données et celles d’autres personnes, ils tombent sous le coup de la législation communautaire sur la protection des données, laquelle impose notamment d’obtenir le consentement éclairé des personnes concernées et de leur accorder un droit de rectification, de contestation, etc. De même, les services de socialisation en ligne doivent, entre autres choses, mettre en œuvre les mesures techniques et d’organisation appropriées pour prévenir tout traitement non autorisé, en tenant compte des risques présentés par le traitement et de la nature des données. Cela signifie par conséquent que les services de socialisation en ligne devraient être dotés d’un paramétrage par défaut favorable au respect de la vie privée, y compris un paramétrage restreignant l’accès au profil d’utilisateur aux contacts personnels et sélectionnés par l’utilisateur lui-même. Le paramétrage devrait aussi demander le consentement de la personne concernée avant de rendre son profil d’utilisateur accessible à des tiers, et les profils d’utilisateur à accès restreint ne devraient pas pouvoir être consultés à partir de moteurs de recherche.

| 76. | Il existe malheureusement un écart entre les dispositions légales et la pratique actuelle. Si, d’un point de vue juridique, les internautes sont considérés comme des responsables du traitement des données et sont liés par le cadre juridique européen sur la protection des données et de la vie privée, ils ignorent en réalité bien souvent ce rôle. Ils ne comprennent en général pas très bien qu’ils traitent des données à caractère personnel et que la publication de telles informations entraîne des risques pour la protection de leur vie privée et de leurs données. Les jeunes, en particulier, publient des contenus en ligne et sous-estiment les conséquences que cela pourrait avoir pour eux-mêmes et les autres lors d’une future inscription dans un établissement scolaire ou au moment de postuler pour un emploi pour ne citer que deux exemples. |
| --- | --- |

76.

Il existe malheureusement un écart entre les dispositions légales et la pratique actuelle. Si, d’un point de vue juridique, les internautes sont considérés comme des responsables du traitement des données et sont liés par le cadre juridique européen sur la protection des données et de la vie privée, ils ignorent en réalité bien souvent ce rôle. Ils ne comprennent en général pas très bien qu’ils traitent des données à caractère personnel et que la publication de telles informations entraîne des risques pour la protection de leur vie privée et de leurs données. Les jeunes, en particulier, publient des contenus en ligne et sous-estiment les conséquences que cela pourrait avoir pour eux-mêmes et les autres lors d’une future inscription dans un établissement scolaire ou au moment de postuler pour un emploi pour ne citer que deux exemples.

| 77. | Parallèlement, les prestataires de services de socialisation en ligne présélectionnent souvent un paramétrage par défaut basé sur des options de refus (opt-out), ce qui favorise la divulgation d’informations personnelles. Certains paramètrent les profils de manière à ce qu’ils soient accessibles par défaut à partir des moteurs de recherche les plus courants. On peut alors se demander si les personnes ont effectivement consenti à la divulgation de leurs données, et si les réseaux sociaux se conforment aux dispositions de l’article 17 de la directive (précitée) qui imposent certaines mesures techniques et d’organisation appropriées pour prévenir tout traitement non autorisé. |
| --- | --- |

77.

Parallèlement, les prestataires de services de socialisation en ligne présélectionnent souvent un paramétrage par défaut basé sur des options de refus (opt-out), ce qui favorise la divulgation d’informations personnelles. Certains paramètrent les profils de manière à ce qu’ils soient accessibles par défaut à partir des moteurs de recherche les plus courants. On peut alors se demander si les personnes ont effectivement consenti à la divulgation de leurs données, et si les réseaux sociaux se conforment aux dispositions de l’article 17 de la directive (précitée) qui imposent certaines mesures techniques et d’organisation appropriées pour prévenir tout traitement non autorisé.

VI.2.   Les risques générés par les réseaux sociaux et les actions suggérées pour y répondre

| 78. | Il résulte de ce qui précède que la protection de la vie privée et des données à caractère personnel est de plus en plus menacée. À travers les réseaux sociaux, les internautes et les personnes dont les données sont téléchargées s’exposent à des violations flagrantes de leur droit à la protection de la vie privée et des données à caractère personnel. |
| --- | --- |

78.

Il résulte de ce qui précède que la protection de la vie privée et des données à caractère personnel est de plus en plus menacée. À travers les réseaux sociaux, les internautes et les personnes dont les données sont téléchargées s’exposent à des violations flagrantes de leur droit à la protection de la vie privée et des données à caractère personnel.

| 79. | En l’occurrence, la Commission devrait déterminer des moyens de réaction, possibles et souhaitables, face à cette situation. Le présent avis ne fournit pas une réponse complète à cette question, mais avance un certain nombre de suggestions nécessitant réflexion. |
| --- | --- |

79.

En l’occurrence, la Commission devrait déterminer des moyens de réaction, possibles et souhaitables, face à cette situation. Le présent avis ne fournit pas une réponse complète à cette question, mais avance un certain nombre de suggestions nécessitant réflexion.

Investir dans l’éducation des internautes

| 80. | La première de ces suggestions est d’investir dans l’éducation. À cet égard, les institutions communautaires et les autorités nationales devraient investir dans l’éducation et la sensibilisation des internautes aux menaces posées par les sites de socialisation en ligne. Ainsi par exemple, la DG Société de l’information a mis en place un programme intitulé «Pour un internet plus sûr» destiné à protéger les enfants et les jeunes notamment par des activités de sensibilisation, et à leur donner les moyens de se protéger sur internet (36). Récemment, les institutions de l’UE ont lancé une campagne intitulée «Réfléchis avant de poster» qui sensibilise le public sur les risques encourus lors du partage d’informations avec des personnes inconnues. |
| --- | --- |

80.

La première de ces suggestions est d’investir dans l’éducation. À cet égard, les institutions communautaires et les autorités nationales devraient investir dans l’éducation et la sensibilisation des internautes aux menaces posées par les sites de socialisation en ligne. Ainsi par exemple, la DG Société de l’information a mis en place un programme intitulé «Pour un internet plus sûr» destiné à protéger les enfants et les jeunes notamment par des activités de sensibilisation, et à leur donner les moyens de se protéger sur internet (36). Récemment, les institutions de l’UE ont lancé une campagne intitulée «Réfléchis avant de poster» qui sensibilise le public sur les risques encourus lors du partage d’informations avec des personnes inconnues.

| 81. | Le CEPD encourage la Commission à poursuivre son soutien à ce type d’activité. Toutefois, les prestataires de services de socialisation en ligne devraient eux aussi jouer un rôle actif car ils ont une responsabilité juridique et sociale et doivent montrer aux internautes comment utiliser leurs services de manière sûre et favorable à la protection de la vie privée. |
| --- | --- |

81.

Le CEPD encourage la Commission à poursuivre son soutien à ce type d’activité. Toutefois, les prestataires de services de socialisation en ligne devraient eux aussi jouer un rôle actif car ils ont une responsabilité juridique et sociale et doivent montrer aux internautes comment utiliser leurs services de manière sûre et favorable à la protection de la vie privée.

| 82. | Comme nous l’avons vu précédemment, les informations postées sur les réseaux sociaux sont, par défaut, accessibles de plusieurs manières. Par exemple, elles peuvent être mises à la disposition du public général, notamment par le biais des moteurs de recherche, qui les répertorient et fournissent ensuite un lien d’accès direct. D’un autre côté, l’accès aux informations peut être limité à une liste d’«amis sélectionnés» ou être entièrement privé. Évidemment, les autorisations de profil d’utilisateur et la terminologie utilisée peuvent varier d’un site web à l’autre. |
| --- | --- |

82.

Comme nous l’avons vu précédemment, les informations postées sur les réseaux sociaux sont, par défaut, accessibles de plusieurs manières. Par exemple, elles peuvent être mises à la disposition du public général, notamment par le biais des moteurs de recherche, qui les répertorient et fournissent ensuite un lien d’accès direct. D’un autre côté, l’accès aux informations peut être limité à une liste d’«amis sélectionnés» ou être entièrement privé. Évidemment, les autorisations de profil d’utilisateur et la terminologie utilisée peuvent varier d’un site web à l’autre.

| 83. | Néanmoins, comme nous l’avons souligné ci-dessus, rares sont les utilisateurs de réseaux sociaux qui savent comment contrôler l’accès aux informations qu’ils publient, encore moins comment modifier les paramètres par défaut. Le paramétrage relatif à la vie privée n’est en général pas modifié, soit parce que les internautes ne sont pas conscients des conséquences que cela entraîne, soit par qu’ils ne savent pas comment s’y prendre. Dans la majorité des cas, le fait de ne pas modifier les paramètres ne correspond pas à une décision éclairée de partager des informations. Dès lors, les moteurs de recherche (tiers) ne devraient pas fournir de lien direct vers le profil personnel des utilisateurs, en se fondant sur la simple supposition que ces derniers ont accepté (par défaut, en ne modifiant pas le paramétrage de sécurité) de publier leurs informations sans restriction. |
| --- | --- |

83.

Néanmoins, comme nous l’avons souligné ci-dessus, rares sont les utilisateurs de réseaux sociaux qui savent comment contrôler l’accès aux informations qu’ils publient, encore moins comment modifier les paramètres par défaut. Le paramétrage relatif à la vie privée n’est en général pas modifié, soit parce que les internautes ne sont pas conscients des conséquences que cela entraîne, soit par qu’ils ne savent pas comment s’y prendre. Dans la majorité des cas, le fait de ne pas modifier les paramètres ne correspond pas à une décision éclairée de partager des informations. Dès lors, les moteurs de recherche (tiers) ne devraient pas fournir de lien direct vers le profil personnel des utilisateurs, en se fondant sur la simple supposition que ces derniers ont accepté (par défaut, en ne modifiant pas le paramétrage de sécurité) de publier leurs informations sans restriction.

| 84. | Dans ce domaine, l’éducation permettra sans doute de faire des progrès, mais ne suffira pas à elle seule. C’est pourquoi, comme le recommande le groupe de travail article 29 dans son avis sur les réseaux sociaux, les prestataires de services de socialisation devraient proposer gratuitement un paramétrage par défaut favorable au respect de la vie privée. Cela sensibiliserait les utilisateurs et leur permettrait de faire des choix plus réfléchis quant au partage et aux destinataires de leurs informations. |
| --- | --- |

84.

Dans ce domaine, l’éducation permettra sans doute de faire des progrès, mais ne suffira pas à elle seule. C’est pourquoi, comme le recommande le groupe de travail article 29 dans son avis sur les réseaux sociaux, les prestataires de services de socialisation devraient proposer gratuitement un paramétrage par défaut favorable au respect de la vie privée. Cela sensibiliserait les utilisateurs et leur permettrait de faire des choix plus réfléchis quant au partage et aux destinataires de leurs informations.

Le rôle de l’auto-régulation

| 85. | La Commission a conclu un accord avec vingt prestataires de services de socialisation en ligne intitulé «Principes de l’UE pour des réseaux sociaux plus sûrs» (37). L’objectif de cet accord est d’améliorer la sécurité des mineurs lorsqu’ils se rendent sur des sites de socialisation sur internet en Europe. Les principes énoncés reprennent de nombreuses exigences établies par le cadre juridique européen décrit ci-dessus. Ils comprennent, par exemple, l’obligation de donner les moyens aux utilisateurs, par des outils et des dispositifs technologiques, de contrôler l’utilisation et la diffusion de leurs informations personnelles. Ils prévoient également des paramètres par défaut favorables à la protection de la vie privée. |
| --- | --- |

85.

La Commission a conclu un accord avec vingt prestataires de services de socialisation en ligne intitulé «Principes de l’UE pour des réseaux sociaux plus sûrs» (37). L’objectif de cet accord est d’améliorer la sécurité des mineurs lorsqu’ils se rendent sur des sites de socialisation sur internet en Europe. Les principes énoncés reprennent de nombreuses exigences établies par le cadre juridique européen décrit ci-dessus. Ils comprennent, par exemple, l’obligation de donner les moyens aux utilisateurs, par des outils et des dispositifs technologiques, de contrôler l’utilisation et la diffusion de leurs informations personnelles. Ils prévoient également des paramètres par défaut favorables à la protection de la vie privée.

| 86. | Début janvier 2010, la Commission a publié les conclusions de son rapport d’évaluation sur la mise en œuvre des principes (38). Le CEPD se montre préoccupé car le rapport souligne que certaines mesures ont été prises, mais que nombre d’autres sont restées lettre morte. Le rapport pointe par exemple certains problèmes relatifs à la communication des mesures et des outils de sécurité sur les sites. Il montre aussi que moins de 50 % des signataires de l’accord restreignent l’accès au profil d’utilisateur des mineurs à leurs seuls amis. |
| --- | --- |

86.

Début janvier 2010, la Commission a publié les conclusions de son rapport d’évaluation sur la mise en œuvre des principes (38). Le CEPD se montre préoccupé car le rapport souligne que certaines mesures ont été prises, mais que nombre d’autres sont restées lettre morte. Le rapport pointe par exemple certains problèmes relatifs à la communication des mesures et des outils de sécurité sur les sites. Il montre aussi que moins de 50 % des signataires de l’accord restreignent l’accès au profil d’utilisateur des mineurs à leurs seuls amis.

Vers l’obligation de paramètres par défaut favorables à la protection de la vie privée

| 87. | Dans ce contexte, la question clé est la suivante: faut-il prendre des mesures supplémentaires pour contraindre les prestataires de services de socialisation en ligne à fournir des paramètres par défaut favorables à la protection de la vie privée? Viviane Reding, l’ancienne commissaire à la société de l’information, avait évoqué l’éventualité d’un recours à une telle législation (39). Le Comité économique et social a par ailleurs déclaré qu’un texte devrait imposer des normes de protection minimale pour compléter l’auto-régulation (40). |
| --- | --- |

87.

Dans ce contexte, la question clé est la suivante: faut-il prendre des mesures supplémentaires pour contraindre les prestataires de services de socialisation en ligne à fournir des paramètres par défaut favorables à la protection de la vie privée? Viviane Reding, l’ancienne commissaire à la société de l’information, avait évoqué l’éventualité d’un recours à une telle législation (39). Le Comité économique et social a par ailleurs déclaré qu’un texte devrait imposer des normes de protection minimale pour compléter l’auto-régulation (40).

| 88. | Comme indiqué précédemment, l’article 17 de la directive sur la protection des données impose déjà indirectement aux prestataires de services de socialisation de mettre en place des paramètres par défaut favorables à la protection de la vie privée (41). Il oblige les responsables du traitement des données à «prendre les mesures techniques et d’organisation appropriées (tant au moment de la conception qu’à celui de la mise en œuvre du traitement, et du traitement lui-même) en vue d’assurer en particulier la sécurité et d’empêcher ainsi tout traitement non autorisé, [en] tenant compte des risques présentés par les traitements et de la nature des données à protéger». |
| --- | --- |

88.

Comme indiqué précédemment, l’article 17 de la directive sur la protection des données impose déjà indirectement aux prestataires de services de socialisation de mettre en place des paramètres par défaut favorables à la protection de la vie privée (41). Il oblige les responsables du traitement des données à «prendre les mesures techniques et d’organisation appropriées (tant au moment de la conception qu’à celui de la mise en œuvre du traitement, et du traitement lui-même) en vue d’assurer en particulier la sécurité et d’empêcher ainsi tout traitement non autorisé, [en] tenant compte des risques présentés par les traitements et de la nature des données à protéger».

| 89. | Toutefois, l’article 17 est beaucoup trop vague et imprécis dans le contexte présent. En effet, il n’indique pas clairement ce qu’il faut entendre par mesures techniques et d’organisation appropriées dans le cadre précis des réseaux sociaux. Nous nous trouvons donc face à une incertitude juridique problématique, tant pour les organismes de réglementation que pour les particuliers, dont les données à caractère personnel et la vie privée ne sont pas bien protégées. |
| --- | --- |

89.

Toutefois, l’article 17 est beaucoup trop vague et imprécis dans le contexte présent. En effet, il n’indique pas clairement ce qu’il faut entendre par mesures techniques et d’organisation appropriées dans le cadre précis des réseaux sociaux. Nous nous trouvons donc face à une incertitude juridique problématique, tant pour les organismes de réglementation que pour les particuliers, dont les données à caractère personnel et la vie privée ne sont pas bien protégées.

| 90. | Pour ces raisons, le CEPD prie instamment la Commission d’élaborer une législation prévoyant au moins l’obligation de fournir des services dotés de paramètres par défaut favorables à la protection de la vie privée, et assortie d’ exigences plus précises:






  a) | Fourniture de paramètres permettant de restreindre l’accès aux profils d’utilisateur aux seuls contacts sélectionnés par l’utilisateur même. Les paramètres doivent aussi exiger que l’utilisateur consente de manière affirmative à ce que son profil d’utilisateur soit accessible par des tiers. |
| --- | --- | --- |

90.

Pour ces raisons, le CEPD prie instamment la Commission d’élaborer une législation prévoyant au moins l’obligation de fournir des services dotés de paramètres par défaut favorables à la protection de la vie privée, et assortie d’ exigences plus précises:

a)

Fourniture de paramètres permettant de restreindre l’accès aux profils d’utilisateur aux seuls contacts sélectionnés par l’utilisateur même. Les paramètres doivent aussi exiger que l’utilisateur consente de manière affirmative à ce que son profil d’utilisateur soit accessible par des tiers.

| b) | Les profils d’utilisateur à accès restreint ne doivent pas pouvoir être consultés par le biais de moteurs de recherche internes/externes. |
| --- | --- |

b)

Les profils d’utilisateur à accès restreint ne doivent pas pouvoir être consultés par le biais de moteurs de recherche internes/externes.

| 91. | Outre cette obligation de paramétrage par défaut, une question reste posée: existe-t-il d’autres mesures appropriées permettant de protéger les données (dans le domaine de la protection des mineurs par exemple)? Ceci soulève la question plus large de savoir s’il serait approprié d’établir un cadre propre à ce type de services, qui, outre le paramétrage par défaut obligatoire, permettrait de réglementer d’autres aspects. Le CEPD demande à la Commission de réfléchir à ces questions. |
| --- | --- |

91.

Outre cette obligation de paramétrage par défaut, une question reste posée: existe-t-il d’autres mesures appropriées permettant de protéger les données (dans le domaine de la protection des mineurs par exemple)? Ceci soulève la question plus large de savoir s’il serait approprié d’établir un cadre propre à ce type de services, qui, outre le paramétrage par défaut obligatoire, permettrait de réglementer d’autres aspects. Le CEPD demande à la Commission de réfléchir à ces questions.

VII.   PARAMÈTRES DU NAVIGATEUR PAR DÉFAUT FAVORABLES À LA PROTECTION DE LA VIE PRIVÉE ET PERMETTANT DE SOUSCRIRE DE MANIÈRE INFORMÉE À LA RÉCEPTION DE MESSAGES PUBLICITAIRES

| 92. | Les prestataires de services de publicité par internet utilisent des cookies et d’autres dispositifs pour suivre le comportement des consommateurs lorsqu’ils surfent sur internet, ce qui leur permet ensuite de dresser la liste de leurs intérêts et d’établir leur profil de consommateur. Ces informations sont alors exploitées pour cerner les internautes et leur envoyer des messages publicitaires ciblés (42). |
| --- | --- |

92.

Les prestataires de services de publicité par internet utilisent des cookies et d’autres dispositifs pour suivre le comportement des consommateurs lorsqu’ils surfent sur internet, ce qui leur permet ensuite de dresser la liste de leurs intérêts et d’établir leur profil de consommateur. Ces informations sont alors exploitées pour cerner les internautes et leur envoyer des messages publicitaires ciblés (42).

VII.1.   Les défis à relever et les risques qui persistent avec le cadre juridique actuel relatif à la protection des données et de la vie privée

| 93. | Ce traitement est couvert par la directive sur la protection des données (lorsque des données à caractère personnel sont concernées) ainsi que par l’article 5, paragraphe 3, de la directive «Vie privée et communications électroniques». Il exige de manière claire que l’utilisateur soit informé de la possibilité que des «cookies» ou d’autres éléments soient stockés sur son disque dur, et qu’il ait la possibilité de réagir en donnant son consentement ou en refusant ledit stockage (43). |
| --- | --- |

93.

Ce traitement est couvert par la directive sur la protection des données (lorsque des données à caractère personnel sont concernées) ainsi que par l’article 5, paragraphe 3, de la directive «Vie privée et communications électroniques». Il exige de manière claire que l’utilisateur soit informé de la possibilité que des «cookies» ou d’autres éléments soient stockés sur son disque dur, et qu’il ait la possibilité de réagir en donnant son consentement ou en refusant ledit stockage (43).

| 94. | À ce jour, les prestataires de services publicitaires sur internet se sont appuyés sur les paramètres de navigateur et les politiques générales relatives à la protection de la vie privée pour informer les utilisateurs et leur permettre d’accepter ou de refuser les cookies. Dans les messages de protection de la vie privée des éditeurs de sites internet, ils indiquent la marche à suivre pour refuser les cookies ou les accepter au cas par cas. Ce faisant, ils s’efforcent de remplir leur obligation consistant à permettre aux utilisateurs d’exercer leur droit de refuser les cookies. |
| --- | --- |

94.

À ce jour, les prestataires de services publicitaires sur internet se sont appuyés sur les paramètres de navigateur et les politiques générales relatives à la protection de la vie privée pour informer les utilisateurs et leur permettre d’accepter ou de refuser les cookies. Dans les messages de protection de la vie privée des éditeurs de sites internet, ils indiquent la marche à suivre pour refuser les cookies ou les accepter au cas par cas. Ce faisant, ils s’efforcent de remplir leur obligation consistant à permettre aux utilisateurs d’exercer leur droit de refuser les cookies.

| 95. | Si, en théorie, cette méthode (reposant sur les navigateurs) pouvait effectivement donner lieu à un consentement éclairé des internautes, la réalité est tout autre. En effet, les internautes n’ont en général qu’une compréhension partielle de la problématique de la collecte d’informations (surtout par des tiers), de la valeur de ces données, de leur utilisation, du procédé technologique utilisé, et plus particulièrement, de la manière et des outils permettant de refuser les cookies. Les modalités de refus (opt-out) leur semblent non seulement compliquées, mais aussi excessives (l’utilisateur doit régler son navigateur pour accepter les cookies, puis exercer son droit de refus). |
| --- | --- |

95.

Si, en théorie, cette méthode (reposant sur les navigateurs) pouvait effectivement donner lieu à un consentement éclairé des internautes, la réalité est tout autre. En effet, les internautes n’ont en général qu’une compréhension partielle de la problématique de la collecte d’informations (surtout par des tiers), de la valeur de ces données, de leur utilisation, du procédé technologique utilisé, et plus particulièrement, de la manière et des outils permettant de refuser les cookies. Les modalités de refus (opt-out) leur semblent non seulement compliquées, mais aussi excessives (l’utilisateur doit régler son navigateur pour accepter les cookies, puis exercer son droit de refus).

| 96. | De ce fait, peu de personnes exercent leur droit de refus des cookies, non pas en vertu d’une décision éclairée d’accepter des publicités comportementales, mais plutôt parce qu’ils ne réalisent pas qu’en n’utilisant pas leur droit de refus, ils acceptent les cookies de fait. |
| --- | --- |

96.

De ce fait, peu de personnes exercent leur droit de refus des cookies, non pas en vertu d’une décision éclairée d’accepter des publicités comportementales, mais plutôt parce qu’ils ne réalisent pas qu’en n’utilisant pas leur droit de refus, ils acceptent les cookies de fait.

| 97. | Par conséquent, si, du strict point de vue juridique, l’article 5, paragraphe 3, de la directive «Vie privée et communications électroniques» constitue une protection efficace, en pratique, les internautes sont réputés accepter d’être surveillés à des fins publicitaires et, dans de nombreux cas, voire dans la majorité des situations, ils ne sont pas du tout conscients de l’existence de cette surveillance. |
| --- | --- |

97.

Par conséquent, si, du strict point de vue juridique, l’article 5, paragraphe 3, de la directive «Vie privée et communications électroniques» constitue une protection efficace, en pratique, les internautes sont réputés accepter d’être surveillés à des fins publicitaires et, dans de nombreux cas, voire dans la majorité des situations, ils ne sont pas du tout conscients de l’existence de cette surveillance.

| 98. | Le groupe de travail article 29 prépare actuellement un avis destiné à clarifier les exigences légales relatives aux activités de publicité comportementale, ce qui constitue une initiative bienvenue. Néanmoins, il se pourrait que son interprétation ne suffise pas à elle seule à résoudre la problématique, et l’Union européenne pourrait bien devoir légiférer à nouveau. |
| --- | --- |

98.

Le groupe de travail article 29 prépare actuellement un avis destiné à clarifier les exigences légales relatives aux activités de publicité comportementale, ce qui constitue une initiative bienvenue. Néanmoins, il se pourrait que son interprétation ne suffise pas à elle seule à résoudre la problématique, et l’Union européenne pourrait bien devoir légiférer à nouveau.

VII.2.   Nécessité d’une action supplémentaire prévoyant notamment l’obligation d’un paramétrage par défaut favorable à la protection de la vie privée

| 99. | Comme indiqué précédemment, les navigateurs permettent en général d’exercer un certain degré de contrôle sur différents types de cookies. Actuellement, les paramètres par défaut de la majorité des navigateurs acceptent tous les cookies. En d’autres termes, les navigateurs sont systématiquement paramétrés pour accepter tous les cookies, quels qu’en soient les objectifs. Comme nous l’avons déjà indiqué, pour ne pas recevoir de cookies, l’utilisateur doit modifier les paramètres de son navigateur, ce que peu d’internautes font. En outre, aucun assistant (wizard) de protection de la vie privée n’est disponible lors de l’installation initiale ou de la première mise à jour des applications de navigateur. |
| --- | --- |

99.

Comme indiqué précédemment, les navigateurs permettent en général d’exercer un certain degré de contrôle sur différents types de cookies. Actuellement, les paramètres par défaut de la majorité des navigateurs acceptent tous les cookies. En d’autres termes, les navigateurs sont systématiquement paramétrés pour accepter tous les cookies, quels qu’en soient les objectifs. Comme nous l’avons déjà indiqué, pour ne pas recevoir de cookies, l’utilisateur doit modifier les paramètres de son navigateur, ce que peu d’internautes font. En outre, aucun assistant (wizard) de protection de la vie privée n’est disponible lors de l’installation initiale ou de la première mise à jour des applications de navigateur.

| 100. | Pour maîtriser ce problème, il faudrait que les navigateurs soient fournis avec un paramétrage par défaut favorable à la protection de la vie privée. En d’autres termes, il faudrait qu’ils soient fournis avec un réglage «refus des cookies de tiers». Pour compléter ce dispositif et le rendre plus efficace, les navigateurs devraient imposer aux utilisateurs de suivre un assistant de protection de la vie privée lorsqu’ils installent ou mettent à jour leur navigateur pour la première fois. Les utilisateurs devraient aussi bénéficier d’une plus grande granularité (mode d’effaçage par blocs d’octets) et d’informations claires sur les différents types de cookies et l’utilité de certains d’entre eux. Les internautes qui sont prêts à être surveillés afin de recevoir des publicités seront dûment informés, et devront modifier le paramétrage de leur navigateur. Cela leur permettra de mieux contrôler leurs données à caractère personnel, ainsi que leur vie privée. Cela constituerait aux yeux du CEPD, un moyen efficace de respecter et de protéger les données d’utilisateur (44). |
| --- | --- |

100.

Pour maîtriser ce problème, il faudrait que les navigateurs soient fournis avec un paramétrage par défaut favorable à la protection de la vie privée. En d’autres termes, il faudrait qu’ils soient fournis avec un réglage «refus des cookies de tiers». Pour compléter ce dispositif et le rendre plus efficace, les navigateurs devraient imposer aux utilisateurs de suivre un assistant de protection de la vie privée lorsqu’ils installent ou mettent à jour leur navigateur pour la première fois. Les utilisateurs devraient aussi bénéficier d’une plus grande granularité (mode d’effaçage par blocs d’octets) et d’informations claires sur les différents types de cookies et l’utilité de certains d’entre eux. Les internautes qui sont prêts à être surveillés afin de recevoir des publicités seront dûment informés, et devront modifier le paramétrage de leur navigateur. Cela leur permettra de mieux contrôler leurs données à caractère personnel, ainsi que leur vie privée. Cela constituerait aux yeux du CEPD, un moyen efficace de respecter et de protéger les données d’utilisateur (44).

| 101. | Compte tenu, d’une part, de l’étendue du problème, c’est-à-dire du nombre d’internautes actuellement surveillés sur la base d’un consentement illusoire et, d’autre part, de la taille des intérêts en jeu, la nécessité de mettre en place des moyens supplémentaires de protection se fait de plus en plus pressante. La mise en œuvre du principe de respect de la vie privée dès la conception dans les applications de navigateur pourrait constituer une avancée majeure en direction d’un meilleur contrôle par les citoyens des pratiques de collecte de données à des fins publicitaires. |
| --- | --- |

101.

Compte tenu, d’une part, de l’étendue du problème, c’est-à-dire du nombre d’internautes actuellement surveillés sur la base d’un consentement illusoire et, d’autre part, de la taille des intérêts en jeu, la nécessité de mettre en place des moyens supplémentaires de protection se fait de plus en plus pressante. La mise en œuvre du principe de respect de la vie privée dès la conception dans les applications de navigateur pourrait constituer une avancée majeure en direction d’un meilleur contrôle par les citoyens des pratiques de collecte de données à des fins publicitaires.

| 102. | Pour ces raisons, le CEPD appelle la Commission à envisager des mesures législatives imposant l’intégration de paramètres par défaut favorables au respect de la vie privée dans les navigateurs, ainsi que la communication des informations pertinentes. |
| --- | --- |

102.

Pour ces raisons, le CEPD appelle la Commission à envisager des mesures législatives imposant l’intégration de paramètres par défaut favorables au respect de la vie privée dans les navigateurs, ainsi que la communication des informations pertinentes.

VIII.   AUTRES PRINCIPES VISANT À PROTÉGER LA VIE PRIVÉE ET LES DONNÉES DES PERSONNES

| 103. | Si le principe de respect de la vie privée dès la conception présente un potentiel important d’amélioration de la protection des données et de la vie privée, des textes juridiques complémentaires de mise en œuvre de ce principe seront nécessaires pour obtenir la confiance des consommateurs à l’égard des TIC. Dans ce contexte, le CEPD évoque le principe de transparence et l’élaboration d’un cadre obligatoire multisectoriel concernant les failles de sécurité. |
| --- | --- |

103.

Si le principe de respect de la vie privée dès la conception présente un potentiel important d’amélioration de la protection des données et de la vie privée, des textes juridiques complémentaires de mise en œuvre de ce principe seront nécessaires pour obtenir la confiance des consommateurs à l’égard des TIC. Dans ce contexte, le CEPD évoque le principe de transparence et l’élaboration d’un cadre obligatoire multisectoriel concernant les failles de sécurité.

VIII.1.   Le principe de responsabilité pour garantir la conformité avec le principe de respect de la vie privée dès la conception

| 104. | Le document publié par le groupe de travail Article 29 intitulé «L’avenir de la vie privée» (45) recommandait d’inclure le principe de responsabilité dans la directive sur la protection des données. Ce dernier, qui est déjà reconnu par certains instruments juridiques internationaux relatifs à la protection des données (46), exige des organisations qu’elles mettent en œuvre des processus permettant de se conformer aux lois existantes ainsi que des méthodes d’évaluation et de démonstration de cette conformité avec la législation/d’autres instruments juridiques contraignants. |
| --- | --- |

104.

Le document publié par le groupe de travail Article 29 intitulé «L’avenir de la vie privée» (45) recommandait d’inclure le principe de responsabilité dans la directive sur la protection des données. Ce dernier, qui est déjà reconnu par certains instruments juridiques internationaux relatifs à la protection des données (46), exige des organisations qu’elles mettent en œuvre des processus permettant de se conformer aux lois existantes ainsi que des méthodes d’évaluation et de démonstration de cette conformité avec la législation/d’autres instruments juridiques contraignants.

| 105. | Le CEPD soutient entièrement cette recommandation du groupe de travail article 29. Il considère que ce principe sera très pertinent pour favoriser l’application effective des principes et obligations en matière de protection des données. L’exigence de responsabilité imposera aux responsables du traitement des données de prouver qu’ils ont mis en place les mécanismes nécessaires pour se conformer à la législation sur la protection des données. Une telle approche est susceptible de participer à l’intégration concrète du principe de respect de la vie privée dès la conception dans les technologies TIC en tant qu’élément particulièrement adapté à faire toute la transparence. |
| --- | --- |

105.

Le CEPD soutient entièrement cette recommandation du groupe de travail article 29. Il considère que ce principe sera très pertinent pour favoriser l’application effective des principes et obligations en matière de protection des données. L’exigence de responsabilité imposera aux responsables du traitement des données de prouver qu’ils ont mis en place les mécanismes nécessaires pour se conformer à la législation sur la protection des données. Une telle approche est susceptible de participer à l’intégration concrète du principe de respect de la vie privée dès la conception dans les technologies TIC en tant qu’élément particulièrement adapté à faire toute la transparence.

| 106. | Pour mesurer et prouver leur responsabilité, les responsables du traitement des données pourraient recourir à des procédures internes et aux services de tiers, ou à d’autres types de vérification, qui leur attribueraient éventuellement un agrément. Dans ce contexte, le CEPD prie instamment la Commission de déterminer si, outre un principe général, il convient d’imposer par la loi des mesures spécifiques de transparence, telles que, par exemple, l’obligation de procéder à des évaluations d’impact sur la protection de la vie privée et des données et, le cas échéant, dans quelles circonstances. |
| --- | --- |

106.

Pour mesurer et prouver leur responsabilité, les responsables du traitement des données pourraient recourir à des procédures internes et aux services de tiers, ou à d’autres types de vérification, qui leur attribueraient éventuellement un agrément. Dans ce contexte, le CEPD prie instamment la Commission de déterminer si, outre un principe général, il convient d’imposer par la loi des mesures spécifiques de transparence, telles que, par exemple, l’obligation de procéder à des évaluations d’impact sur la protection de la vie privée et des données et, le cas échéant, dans quelles circonstances.

VIII.2.   Failles de sécurité: compléter le cadre juridique

| 107. | Les amendements apportés l’année dernière à la directive «Vie privée et communications électroniques» obligent à notifier les failles de sécurité aux personnes affectées, ainsi qu’aux autorités compétentes. De manière générale, une faille de sécurité se définit comme toute faille conduisant à la destruction, la perte, la divulgation, etc. de données à caractère personnel transmises, stockées ou autrement traitées, en rapport avec le service. Les personnes concernées devront être averties si la faille de sécurité est susceptible d’avoir un effet négatif sur les données à caractère personnel qui les concernent ou sur leur vie privée. Cela pourrait être le cas si la faille donnait lieu à une usurpation d’identité, une humiliation importante ou un préjudice de réputation. Les autorités compétentes devront également être prévenues de toute faille de sécurité, que celle-ci représente ou non un risque pour les personnes. |
| --- | --- |

107.

Les amendements apportés l’année dernière à la directive «Vie privée et communications électroniques» obligent à notifier les failles de sécurité aux personnes affectées, ainsi qu’aux autorités compétentes. De manière générale, une faille de sécurité se définit comme toute faille conduisant à la destruction, la perte, la divulgation, etc. de données à caractère personnel transmises, stockées ou autrement traitées, en rapport avec le service. Les personnes concernées devront être averties si la faille de sécurité est susceptible d’avoir un effet négatif sur les données à caractère personnel qui les concernent ou sur leur vie privée. Cela pourrait être le cas si la faille donnait lieu à une usurpation d’identité, une humiliation importante ou un préjudice de réputation. Les autorités compétentes devront également être prévenues de toute faille de sécurité, que celle-ci représente ou non un risque pour les personnes.

L’application des obligations relatives aux failles de sécurité dans différents secteurs

| 108. | Malheureusement, cette obligation ne concerne que les services de communications électroniques proposés au public par les sociétés de téléphonie, les fournisseurs d’accès internet, les fournisseurs de messagerie électronique, etc. Le CEPD prie instamment la Commission de faire des propositions multisectorielles sur les failles de sécurité. En termes de contenu, le CEPD considère que le cadre juridique relatif aux failles de sécurité intégré dans la directive «Vie privée» établit un juste équilibre entre la protection des droits des personnes (y compris leur droit à la protection des données à caractère personnel et de leur vie privée) et les obligations imposées aux entités concernées. Parallèlement, il s’agit d’un cadre bien réel et «mordant», car il s’appuie sur des dispositions d’application importantes et attribue aux autorités les prérogatives nécessaires pour enquêter et prendre des sanctions en cas de non-respect. |
| --- | --- |

108.

Malheureusement, cette obligation ne concerne que les services de communications électroniques proposés au public par les sociétés de téléphonie, les fournisseurs d’accès internet, les fournisseurs de messagerie électronique, etc. Le CEPD prie instamment la Commission de faire des propositions multisectorielles sur les failles de sécurité. En termes de contenu, le CEPD considère que le cadre juridique relatif aux failles de sécurité intégré dans la directive «Vie privée» établit un juste équilibre entre la protection des droits des personnes (y compris leur droit à la protection des données à caractère personnel et de leur vie privée) et les obligations imposées aux entités concernées. Parallèlement, il s’agit d’un cadre bien réel et «mordant», car il s’appuie sur des dispositions d’application importantes et attribue aux autorités les prérogatives nécessaires pour enquêter et prendre des sanctions en cas de non-respect.

| 109. | Par conséquent, le CEPD prie instamment la Commission d’adopter une proposition législative qui permettrait d’appliquer ce cadre dans plusieurs secteurs, après ajustement si nécessaire. Cela garantirait aussi l’harmonie des normes et des procédures appliquées dans les différents secteurs. |
| --- | --- |

109.

Par conséquent, le CEPD prie instamment la Commission d’adopter une proposition législative qui permettrait d’appliquer ce cadre dans plusieurs secteurs, après ajustement si nécessaire. Cela garantirait aussi l’harmonie des normes et des procédures appliquées dans les différents secteurs.

Compléter le cadre juridique intégré dans la directive «Vie privée et communications électroniques» par la comitologie

| 110. | La directive «Vie privée et communications électroniques» permet à la Commission d’adopter des mesures de mise en œuvre technique, à savoir des mesures précises concernant la notification des failles de sécurité, par le biais d’une procédure de comitologie (47). Cette délégation de responsabilités est destinée à garantir la mise en œuvre et l’application cohérentes du cadre juridique relatif aux failles de sécurité. Une mise en œuvre cohérente permettrait aussi de garantir le même niveau de protection élevé à tous les citoyens européens, et d’éviter d’accabler les entités concernées avec des exigences multiples et divergentes en matière de notification. |
| --- | --- |

110.

La directive «Vie privée et communications électroniques» permet à la Commission d’adopter des mesures de mise en œuvre technique, à savoir des mesures précises concernant la notification des failles de sécurité, par le biais d’une procédure de comitologie (47). Cette délégation de responsabilités est destinée à garantir la mise en œuvre et l’application cohérentes du cadre juridique relatif aux failles de sécurité. Une mise en œuvre cohérente permettrait aussi de garantir le même niveau de protection élevé à tous les citoyens européens, et d’éviter d’accabler les entités concernées avec des exigences multiples et divergentes en matière de notification.

| 111. | La directive «Vie privée et communications électroniques» a été adoptée en novembre 2009. Rien ne semble justifier un report du début des travaux pour l’adoption des mesures de mise en œuvre technique. Le CEPD a organisé deux séminaires destinés à rassembler et partager des expériences sur la notification des failles de sécurité. Il serait heureux de partager les résultats de cet exercice et attend avec intérêt de travailler prochainement avec la Commission et d’autres parties prenantes pour affiner le cadre juridique global sur les failles de sécurité. |
| --- | --- |

111.

La directive «Vie privée et communications électroniques» a été adoptée en novembre 2009. Rien ne semble justifier un report du début des travaux pour l’adoption des mesures de mise en œuvre technique. Le CEPD a organisé deux séminaires destinés à rassembler et partager des expériences sur la notification des failles de sécurité. Il serait heureux de partager les résultats de cet exercice et attend avec intérêt de travailler prochainement avec la Commission et d’autres parties prenantes pour affiner le cadre juridique global sur les failles de sécurité.

| 112. | Le CEPD prie instamment la Commission de prendre les mesures nécessaires, et ce dans les meilleurs délais. Avant d’adopter des mesures de mise en œuvre technique, la Commission devra engager une large consultation à laquelle participeront l’ENISA, le CEPD et le groupe de travail article 29. La consultation englobera aussi d’autres «parties prenantes concernées» afin, notamment, de tenir compte des moyens techniques et économiques les plus appropriés pour la mise en œuvre. |
| --- | --- |

112.

Le CEPD prie instamment la Commission de prendre les mesures nécessaires, et ce dans les meilleurs délais. Avant d’adopter des mesures de mise en œuvre technique, la Commission devra engager une large consultation à laquelle participeront l’ENISA, le CEPD et le groupe de travail article 29. La consultation englobera aussi d’autres «parties prenantes concernées» afin, notamment, de tenir compte des moyens techniques et économiques les plus appropriés pour la mise en œuvre.

IX.   CONCLUSIONS

| 113. | La confiance — ou plutôt l’absence de confiance — a été identifiée comme un élément clé dans l’émergence et le déploiement réussi des technologies de l’information et de la communication. Si les personnes ne font pas confiance aux TIC, ces technologies finiront par disparaître. La confiance dans les TIC dépend de différents facteurs. S’assurer que ces technologies n’empiètent pas sur les droits fondamentaux des individus à la protection de leur vie privée et de leurs données personnelles, en est un. |
| --- | --- |

113.

La confiance — ou plutôt l’absence de confiance — a été identifiée comme un élément clé dans l’émergence et le déploiement réussi des technologies de l’information et de la communication. Si les personnes ne font pas confiance aux TIC, ces technologies finiront par disparaître. La confiance dans les TIC dépend de différents facteurs. S’assurer que ces technologies n’empiètent pas sur les droits fondamentaux des individus à la protection de leur vie privée et de leurs données personnelles, en est un.

| 114. | Pour renforcer encore le cadre juridique sur la protection des données/de la vie privée, dont les principes restent entièrement valables dans la société de l’information, le CEPD propose à la Commission d’intégrer le principe de respect de la vie privée dès la conception à différents niveaux du droit et du processus politique. |
| --- | --- |

114.

Pour renforcer encore le cadre juridique sur la protection des données/de la vie privée, dont les principes restent entièrement valables dans la société de l’information, le CEPD propose à la Commission d’intégrer le principe de respect de la vie privée dès la conception à différents niveaux du droit et du processus politique.

| 115. | Il recommande à la Commission de suivre les quatre étapes suivantes:






  a) | Proposer d’intégrer une disposition générale sur le respect de la vie privée dès la conception dans les textes juridiques relatifs à la protection des données. Cette disposition devrait être neutre sur le plan technologique, et la conformité devrait être obligatoire à différents niveaux. |
| --- | --- | --- |

115.

Il recommande à la Commission de suivre les quatre étapes suivantes:

a)

Proposer d’intégrer une disposition générale sur le respect de la vie privée dès la conception dans les textes juridiques relatifs à la protection des données. Cette disposition devrait être neutre sur le plan technologique, et la conformité devrait être obligatoire à différents niveaux.

| b) | Formuler cette disposition générale sous forme de dispositions spécifiques lorsque différents instruments juridiques seront proposés, dans différents secteurs. Ces dispositions spécifiques pourraient déjà être intégrées dans l’appareil juridique, sur la base de l’article 17 de la directive sur la protection des données à caractère personnel (et d’autres textes législatifs). |
| --- | --- |

b)

Formuler cette disposition générale sous forme de dispositions spécifiques lorsque différents instruments juridiques seront proposés, dans différents secteurs. Ces dispositions spécifiques pourraient déjà être intégrées dans l’appareil juridique, sur la base de l’article 17 de la directive sur la protection des données à caractère personnel (et d’autres textes législatifs).

| c) | Intégrer le principe de respect de la vie privé dès la conception dans le programme numérique européen, en tant que principe directeur. |
| --- | --- |

c)

Intégrer le principe de respect de la vie privé dès la conception dans le programme numérique européen, en tant que principe directeur.

| d) | Introduire le principe dans d’autres initiatives communautaires (principalement des initiatives non législatives). |
| --- | --- |

d)

Introduire le principe dans d’autres initiatives communautaires (principalement des initiatives non législatives).

| 116. | Dans trois domaines TIC spécifiques, le CEPD recommande à la Commission d’évaluer la nécessité de formuler des propositions pour la mise en œuvre du principe de différentes manières:






  a) | Concernant la RFID, il convient de proposer des mesures législatives pour réglementer les principaux problèmes liés à l’utilisation de la RFID en cas d’échec de la mise en œuvre du cadre juridique par l’auto-régulation. Prévoir un principe d’adhésion (opt-in) sur le point de vente. En vertu de ce principe, toutes les micropuces RFID placées sur les produits de consommation seront désactivées par défaut sur le point de vente. |
| --- | --- | --- |

116.

Dans trois domaines TIC spécifiques, le CEPD recommande à la Commission d’évaluer la nécessité de formuler des propositions pour la mise en œuvre du principe de différentes manières:

a)

Concernant la RFID, il convient de proposer des mesures législatives pour réglementer les principaux problèmes liés à l’utilisation de la RFID en cas d’échec de la mise en œuvre du cadre juridique par l’auto-régulation. Prévoir un principe d’adhésion (opt-in) sur le point de vente. En vertu de ce principe, toutes les micropuces RFID placées sur les produits de consommation seront désactivées par défaut sur le point de vente.

| b) | Concernant les réseaux sociaux, élaborer une législation prévoyant, à tout le moins, l’obligation généralisée de fournir des services dotés de paramètres par défaut favorables à la protection de la vie privée et des exigences plus précises restreignant l’accès au profil d’utilisateur aux seuls contacts sélectionnés par l’utilisateur, et l’impossibilité de découvrir ce profil par le biais de moteurs de recherche internes/externes. |
| --- | --- |

b)

Concernant les réseaux sociaux, élaborer une législation prévoyant, à tout le moins, l’obligation généralisée de fournir des services dotés de paramètres par défaut favorables à la protection de la vie privée et des exigences plus précises restreignant l’accès au profil d’utilisateur aux seuls contacts sélectionnés par l’utilisateur, et l’impossibilité de découvrir ce profil par le biais de moteurs de recherche internes/externes.

| c) | Concernant les messages publicitaires ciblés, la législation pourrait imposer un refus des cookies de tiers intégré par défaut dans le paramétrage des navigateurs et imposer aux internautes de suivre les étapes d’un «assistant de confidentialité» lors de la première installation du navigateur ou de sa mise à jour. |
| --- | --- |

c)

Concernant les messages publicitaires ciblés, la législation pourrait imposer un refus des cookies de tiers intégré par défaut dans le paramétrage des navigateurs et imposer aux internautes de suivre les étapes d’un «assistant de confidentialité» lors de la première installation du navigateur ou de sa mise à jour.

| 117. | Enfin, le CEPD suggère à la Commission:






  a) | de réfléchir à une éventuelle mise en œuvre du principe de responsabilité dans la directive sur la protection des données, et |
| --- | --- | --- |

117.

Enfin, le CEPD suggère à la Commission:

a)

de réfléchir à une éventuelle mise en œuvre du principe de responsabilité dans la directive sur la protection des données, et

| b) | de développer un ensemble de règles et de procédures visant la mise en œuvre des dispositions relatives à la notification des failles de sécurité prévues par la directive «Vie privée et communications électroniques», et en étendre généralement l’application à tous les responsables du traitement des données. |
| --- | --- |

b)

de développer un ensemble de règles et de procédures visant la mise en œuvre des dispositions relatives à la notification des failles de sécurité prévues par la directive «Vie privée et communications électroniques», et en étendre généralement l’application à tous les responsables du traitement des données.

Fait à Bruxelles, le 18 mars 2010.

Peter HUSTINX

Contrôleur européen de la protection des données

---

(1)  JO L 281 du 23.11.1995, p. 31.

1

(2)  JO L 201 du 31.7.2002, p. 37.

2

(3)  JO L 8 du 12.1.2001, p. 1.

3

(4)  Réponses au questionnaire du Parlement européen adressé à la commissaire Neelie Kroes dans le cadre des auditions préliminaires conduites par le Parlement européen en vue de la nomination des commissaires.

4

(5)  Réponses au questionnaire du Parlement européen adressé à la commissaire Neelie Kroes dans le cadre des auditions préliminaires conduites par le Parlement européen en vue de la nomination des commissaires; discours de la commissaire Viviane Reding «Un programme numérique européen répondant aux attentes des nouveaux consommateurs numériques» au Forum multipartite du BEUC (Bureau européen des unions de consommateurs) sur la protection de la vie privée des consommateurs et le marketing en ligne: «Tendances du marché et perspectives politiques», Bruxelles, le 12 novembre 2009.

5

(6)  Voir, par exemple, le rapport «La confiance accordée à la société de l’information» préparé par le conseil consultatif RISEPTIS (Recherche et innovation dans le domaine de la sécurité, la vie privée et la confiance accordée à la société de l’information). Disponible à l’adresse http://www.think-trust.eu/general/news-events/riseptis-report.html. Voir également: J. B Horrigan, Broadband Adoption and Use in America, FCC Omnibus Broadband Initiative, OBI Working Paper Series No 1.

6

Broadband Adoption and Use in America

(7)  Voir l’avis 168 du groupe de travail article 29 sur l’avenir de la protection de la vie privée, contribution conjointe à la consultation de la Commission européenne sur le cadre juridique du droit fondamental à la protection des données à caractère personnel, adoptée le 1er décembre 2009.

7

er

(8)  Avis du 25 juillet 2007 du contrôleur européen de la protection des données sur la communication de la Commission au Parlement européen et au Conseil relative au suivi du programme de travail pour une meilleure mise en application de la directive sur la protection des données, JO C 255 du 27.10.2007, p. 1; avis du 20 décembre 2007 sur la communication de la Commission au Parlement européen, au Conseil, au Comité économique et social et au Comité des régions intitulée «L’identification par radiofréquence (RFID) en Europe: vers un cadre politique», document COM(2007) 96, JO C 101, 23.4.2008, p. 1; avis du 10 avril 2008 sur la proposition de directive modifiant, entre autres, la directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive «Vie privée et communications électroniques»), JO C 181, 18.7.2008, p. 1; deuxième avis du 9 janvier 2009 relatif au réexamen de la directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques.

8

(9)  Rapport européen sur la compétitivité dans le domaine numérique — Principales réalisations de la stratégie i2010, 2005-2010 (SEC(2009) 1060).

9

(10)  Conclusions du Conseil «stratégie post-i2010 — Vers une société de la connaissance ouverte, compétitive et verte». (Document 17107/09 adopté le 18.12.2009).

10

(11)  Rapport sur l’élaboration d’un nouvel agenda numérique pour l’Europe: de i2010 à digital.eu [2009/2225 (INI)], adopté le 18.3.2010.

11

(12)  Par exemple, des informations sanitaires collectées en vue de traitements médicaux ne sauraient être utilisées ou vendues sans une extrême prudence pour sélectionner un site pour une clinique satellite, établir un centre de chirurgie ambulatoire, ni d’aucune autre façon pour planifier des activités futures ayant des implications financières.

12

(13)  Voir l’avis du contrôleur européen de la protection des données du 22 juillet 2009 sur la communication de la Commission relative au «Plan d’action pour le déploiement de systèmes de transport intelligents en Europe» et la proposition de directive du Parlement européen et du Conseil établissant un «Cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d’interfaces avec d’autres modes de transport»: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2009/09-07-22_Intelligent_Transport_Systems_EN.pdf

13

(14)  Communication du 2 mai 2007 [COM(2007) 228 final] de la Commission au Parlement européen et au Conseil: «Promouvoir la protection des données par les technologies renforçant la protection de la vie privée (PETs)».

14

(15)  Étude sur les avantages économiques des technologies renforçant la protection de la vie privée (PET) (jls/2008/D4/036).

15

(16)  Directive 95/46/CE du Parlement européen et du Conseil («directive sur la protection des données»).

16

(17)  Directive 2002/58/CE du Parlement européen et du Conseil (Directive «Vie privée et communications électroniques»).

17

(18)  Interprétant les principaux éléments et conditions établis par l’article 8 de la Convention européenne pour la protection des droits humains et des libertés fondamentales (ECHR) adoptée à Rome le 4 novembre 1950, tels qu’ils s’appliquent.

18

(19)  Le traité de Lisbonne a renforcé cette protection en considérant le respect de la vie privée et la protection des données à caractère personnel comme des droits fondamentaux (articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne). Cette charte est entrée en vigueur avec le traité de Lisbonne.

19

(20)  Article 17: «Les États membres prévoient que le responsable du traitement doit mettre en œuvre les mesures techniques et d’organisation appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés, notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite». Le considérant 45 complète l’article 17: «Considérant que la protection des droits et libertés des personnes concernées à l’égard du traitement de données à caractère personnel exige que des mesures techniques et d’organisation appropriées soient prises tant au moment de la conception qu’à celui de la mise en œuvre du traitement, en vue d’assurer en particulier la sécurité et d’empêcher ainsi tout traitement non autorisé».

20

(21)  La Commission a annoncé son intention de mettre à jour la directive 1999/5/CE à la fin de l’année 2010.

21

(22)  Voir le rapport du UK Information Commissioner's Office (ICO) intitulé: «Privacy by Design», publié en novembre 2008.

22

UK Information Commissioner's Office

(23)  Voir l’avis no 168 du groupe de travail article 29 sur l’avenir de la protection de la vie privée — Contribution conjointe à la consultation de la Commission européenne sur le cadre juridique du droit fondamental à la protection des données à caractère personnel, adoptée le 1er décembre 2009.

23

o

er

(24)  Le principe de respect de la vie privée dès la conception est intéressant pour les citoyens et les entreprises. Sa mise en œuvre aboutira à une protection accrue des personnes et suscitera leur confiance à l’égard des nouveaux produits et services proposés, ce qui sera également profitable pour l’économie. Si nous disposons déjà d’exemples encourageants, nous avons encore beaucoup à faire. Discours-programme prononcé lors de la «Journée de la protection des données», le 28 janvier 2010, Parlement européen, Bruxelles.

24

(25)  Programme de Stockholm pour une Europe ouverte et sûre qui sert et protège les citoyens, adopté par le Conseil de l’UE en décembre 2009.

25

(26)  Avis du 10 juillet 2009 sur la communication de la Commission au Parlement européen et au Conseil sur un espace de liberté, de sécurité et de justice au service des citoyens, JO C 276, 17.11.2009, p. 8, point 60.

26

(27)  Voir l’avis no 168 du groupe de travail article 29 sur l’avenir de la protection de la vie privée — Contribution conjointe à la consultation de la Commission européenne sur le cadre juridique du droit fondamental à la protection des données à caractère personnel, 1er décembre 2009.

27

o

er

(28)  Le sigle RFID désigne l’identification par radiofréquence. Les principaux composants d’une application technologique ou d’une infrastructure RFID sont le tag (une micropuce), le lecteur et l’application liée aux micropuces et au lecteur par l’intermédiaire d’un middleware (logiciel médiateur), qui traitent les données produites. La micropuce contient un circuit électronique qui stocke les données et une antenne qui communique les données via des ondes radio. Le lecteur possède une antenne et un démodulateur qui transforme en données numériques les informations analogiques qui entrent par le biais du lien radio. Les informations ainsi transformées peuvent être envoyées via des réseaux à des bases de données et des serveurs, puis être traitées par un ordinateur.

28

ou

tag

middleware

(29)  L’article 3 de la directive «Vie privée et communications électroniques» fait référence à la technologie RFID: «La présente directive s’applique au traitement des données à caractère personnel dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les réseaux publics de communications dans la Communauté, y compris les réseaux de communication publics qui prennent en charge les dispositifs de collecte de données et d’identification». Le considérant 56 le complète ainsi: «Le progrès technologique permet le développement de nouvelles applications fondées sur des dispositifs de collecte de données et d’identification qui peuvent être des dispositifs sans contact utilisant les fréquences radio. Par exemple, les dispositifs d’identification par radiofréquence (RFID) utilisent les fréquences radio pour capturer des données à partir de tags identifiés de manière individuelle, puis les transférer sur les réseaux de communication existants. La généralisation de l’utilisation de ces technologies peut apporter des avantages économiques et sociaux considérables, et favoriser ainsi le marché intérieur, dès lors que les citoyens en adoptent le fonctionnement. Pour y parvenir, il faut s’assurer que l’ensemble des droits fondamentaux des individus, y compris le droit à la vie privée et à la protection de ses propres données, soient protégés. Lorsque ces dispositifs sont connectés à des réseaux de communications électroniques disponibles pour le public ou utilisent des services de communication électronique comme une infrastructure de base, les disposition pertinentes de la directive 2002/58/CE (directive “Vie privée et communications électroniques”) doivent s’appliquer, ainsi que les dispositions relatives à la sécurité, au trafic, aux données de localisation et à la confidentialité».

29

(30)  Ainsi par exemple, l’article 17 de la directive sur la protection des données impose la mise en œuvre de «mesures techniques et d’organisation appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite (...) ou la diffusion non autorisée».

30

(31)  Communication de la Commission du 15 mars 2007 au Parlement européen, au Conseil, au Comité économique et social et au Comité des régions intitulée «L’identification par radiofréquence (RFID) en Europe: vers un cadre politique», document COM(2007) 96 final.

31

(32)  Recommandation de la Commission du 12 mai 2009 sur la «mise en œuvre des principes de protection de la vie privée et des données personnelles dans les applications fondées sur la RFID (identification par radiofréquence)» [document C(2009) 3200 final].

32

(33)  Communication de la Commission du 18 juin 2009 au Parlement européen, au Conseil, au Comité économique et social et au Comité des régions intitulée «L’internet des objets: un plan d’action pour l’Europe» [document COM(2009) 278 final].

33

(34)  Voir l’avis no 163, 5/2009, du groupe de travail article 29, sur la socialisation en ligne, adopté le 12 juin 2009.

34

o

(35)  «Responsable du traitement»: la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou communautaires, le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par le droit national ou communautaire.

35

(36)  Des informations sur ce programme sont disponibles à l’adresse suivante: http://ec.europa.eu/information_society/activities/sip/index_en.htm

36

(37)  Disponibles à l’adresse: http://ec.europa.eu/information_society/activities/social_networking/docs/sn_principles.pdf

37

(38)  Rapport d’évaluation sur la mise en œuvre des principes de l’UE pour des réseaux sociaux plus sûrs: http://ec.europa.eu/information_society/activities/social_networking/docs/final_report/first_part.pdf

38

(39)  Viviane Reding, commissaire européenne chargée des questions liées à la société de l’information et du programme «Réfléchis avant de poster!». Comment rendre les réseaux internet de socialisation plus sûrs pour les enfants et les adolescents? Journée pour un internet plus sûr, Strasbourg, 9 février 2010.

39

(40)  Avis du Comité économique et social européen: «L’impact des réseaux de socialisation et leur interaction dans le domaine du citoyen/consommateur», 4 novembre 2009.

40

(41)  Également développé au point 33 du présent document.

41

(42)  Les «tracking cookies» sont de petits fichiers texte qui contiennent un numéro d’identification unique. En général, les prestataires de services publicitaires sur internet (ainsi que les opérateurs et les éditeurs web) placent ces cookies sur le disque dur de l’internaute, en particulier dans son navigateur, lorsqu’il visite pour la première fois un site web publicitaire qui fait partie de leur réseau. Le cookie permettra au prestataire de reconnaître un internaute qui revient sur ce site ou qui consulte un site partenaire du réseau publicitaire. Ces consultations répétées permettent ensuite au prestataire d’établir le profil de consommation de l’internaute.

42

(43)  L’article 5, paragraphe 3, de la directive «Vie privée et communications électroniques» a récemment été modifié pour renforcer la protection contre l’interception des communications des internautes notamment par l’intermédiaire d’espiogiciels (spyware) et de cookies stockés sur leur ordinateur ou d’autres appareils. Selon la nouvelle directive, les utilisateurs devraient être mieux informés et se voir proposer des moyens de contrôle du stockage des cookies plus simples sur leurs terminaux informatiques.

43

(44)  Parallèlement, le CEPD est conscient du fait que ce dispositif ne résoudrait pas entièrement le problème car certains cookies ne peuvent pas être maîtrisés par l’intermédiaire d’un navigateur, comme c’est par exemple le cas des cookies dénommés «flash cookies». Il faudrait pour cela que les développeurs de navigateurs intègrent des contrôles flash par défaut dans leurs dispositifs de contrôle des cookies sur les nouveaux navigateurs.

44

(45)  Voir l’Avis no 168 du groupe de travail article 29 sur l’avenir de la protection de la vie privée — Contribution conjointe à la consultation de la Commission européenne sur le cadre juridique du droit fondamental à la protection des données à caractère personnel, adoptée le 1er décembre 2009.

45

o

er

(46)  «Lignes directrices régissant la protection de la vie privée et les flux transfrontières de données à caractère personnel» de l’OCDE (1980). Déclaration de Madrid du 3 novembre 2009: «Standards mondiaux de respect de la vie privée dans un monde globalisé».

46

(47)  La comitologie correspond à l’adoption de mesures de mise en œuvre technique par l’intermédiaire d’un comité composé de représentants des États membres et présidé par la Commission. Selon la directive «Vie privée et communications électroniques», cette procédure dite «de réglementation avec contrôle» s’applique, ce qui signifie que le Parlement européen et le Conseil peuvent s’opposer aux mesures proposées par la Commission. Plus d’informations: http://europa.eu/scadplus/glossary/comitology_fr.htm

47

---

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/16 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/16

---

Avis du contrôleur européen de la protection des données sur la proposition d’une directive du Parlement européen et du Conseil relative aux déchets d’équipements électriques et électroniques (DEEE)

2010/C 280/02

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment son article 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et notamment son article 17,

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, et notamment son article 41,

A ADOPTÉ L’AVIS SUIVANT:

I.   INTRODUCTION

| 1. | Le 3 décembre 2008, la Commission a adopté une proposition de directive du Parlement européen et du Conseil relative aux déchets d’équipements électriques et électroniques (DEEE) (ci-après «la proposition») (1). Cette proposition vise à refondre la directive 2002/96/CE relative aux déchets d’équipements électriques et électroniques (DEEE) adoptée le 27 janvier 2003 (ci-après «la directive») (2) sans modification des motivations ou de la raison d’être de la collecte et du recyclage des DEEE. |
| --- | --- |

1.

Le 3 décembre 2008, la Commission a adopté une proposition de directive du Parlement européen et du Conseil relative aux déchets d’équipements électriques et électroniques (DEEE) (ci-après «la proposition») (1). Cette proposition vise à refondre la directive 2002/96/CE relative aux déchets d’équipements électriques et électroniques (DEEE) adoptée le 27 janvier 2003 (ci-après «la directive») (2) sans modification des motivations ou de la raison d’être de la collecte et du recyclage des DEEE.

| 2. | Le CEPD n’a pas été consulté comme l’exige l’article 28, paragraphe 2, du règlement (CE) no 45/2001 (3). De sa propre initiative, le CEPD a par conséquent adopté le présent avis sur la base de l’article 41, paragraphe 2, du même règlement. Le CEPD recommande qu’il soit fait référence à cet avis dans le préambule de la proposition. |
| --- | --- |

2.

Le CEPD n’a pas été consulté comme l’exige l’article 28, paragraphe 2, du règlement (CE) no 45/2001 (3). De sa propre initiative, le CEPD a par conséquent adopté le présent avis sur la base de l’article 41, paragraphe 2, du même règlement. Le CEPD recommande qu’il soit fait référence à cet avis dans le préambule de la proposition.

| 3. | Le CEPD a conscience que cet avis intervient à un stade avancé du processus législatif mais considère néanmoins qu’il est approprié et utile d’émettre cet avis dans la mesure où la proposition soulève d’importantes questions de protection des données qui ne sont pas abordées dans le texte. Le présent avis n’a pas pour objectif de modifier l’objet principal et le contenu de la proposition, dont le «centre de gravité» (4) reste la protection de l’environnement, mais seulement d’apporter une nouvelle dimension qui est de plus en plus importante pour notre société de l’information (5). |
| --- | --- |

3.

Le CEPD a conscience que cet avis intervient à un stade avancé du processus législatif mais considère néanmoins qu’il est approprié et utile d’émettre cet avis dans la mesure où la proposition soulève d’importantes questions de protection des données qui ne sont pas abordées dans le texte. Le présent avis n’a pas pour objectif de modifier l’objet principal et le contenu de la proposition, dont le «centre de gravité» (4) reste la protection de l’environnement, mais seulement d’apporter une nouvelle dimension qui est de plus en plus importante pour notre société de l’information (5).

| 4. | Le CEPD, qui est également conscient de la portée limitée de la procédure de refonte, engage néanmoins le législateur à tenir compte de ces recommandations conformément à l’article 8 de l’accord interinstitutionnel sur la procédure de refonte (qui prévoit la possibilité de modifier les dispositions restées inchangées) (6). |
| --- | --- |

4.

Le CEPD, qui est également conscient de la portée limitée de la procédure de refonte, engage néanmoins le législateur à tenir compte de ces recommandations conformément à l’article 8 de l’accord interinstitutionnel sur la procédure de refonte (qui prévoit la possibilité de modifier les dispositions restées inchangées) (6).

II.   CONTEXTE ET HISTORIQUE DE LA PROPOSITION ET SA PERTINENCE AVEC LA PROTECTION DES DONNÉES

| 5. | La proposition a pour objet d’actualiser l’actuelle directive concernant l’élimination, la réutilisation et le recyclage des DEEE. Les problèmes techniques, juridiques et administratifs apparus dans les premières années de mise en œuvre de la directive ont donné lieu à la proposition, comme prévu à l’article 17, paragraphe 5, de la directive. |
| --- | --- |

5.

La proposition a pour objet d’actualiser l’actuelle directive concernant l’élimination, la réutilisation et le recyclage des DEEE. Les problèmes techniques, juridiques et administratifs apparus dans les premières années de mise en œuvre de la directive ont donné lieu à la proposition, comme prévu à l’article 17, paragraphe 5, de la directive.

| 6. | Les équipements électriques et électroniques (EEE) constituent un vaste groupe de produits incluant un ensemble varié de supports permettant de stocker des données à caractère personnel — tels que les équipements informatiques et de télécommunications (par ex. ordinateurs individuels, ordinateurs portables, équipements terminaux de communications électroniques) — caractérisés, dans le contexte techno-économique actuel, par des cycles d’innovation de plus en plus rapides et, en raison de la convergence technologique, par la disponibilité d’appareils polyvalents. Dans le domaine des supports de stockage de données électroniques, l’évolution est de plus en plus rapide, notamment en ce qui concerne la capacité et la taille de stockage, et par conséquent les forces du marché entraînent un renouvellement également accéléré des EEE (contenant d’importantes quantités de données à caractère personnel souvent sensibles). Il en résulte que non seulement le flux de DEEE est considéré être le flux de déchets qui progresse le plus rapidement dans l’UE (7), mais aussi qu’en cas d’élimination inappropriée, il existe un risque accru et évident de perte et de dispersion des données à caractère personnel stockées dans ces types d’EEE. |
| --- | --- |

6.

Les équipements électriques et électroniques (EEE) constituent un vaste groupe de produits incluant un ensemble varié de supports permettant de stocker des données à caractère personnel — tels que les équipements informatiques et de télécommunications (par ex. ordinateurs individuels, ordinateurs portables, équipements terminaux de communications électroniques) — caractérisés, dans le contexte techno-économique actuel, par des cycles d’innovation de plus en plus rapides et, en raison de la convergence technologique, par la disponibilité d’appareils polyvalents. Dans le domaine des supports de stockage de données électroniques, l’évolution est de plus en plus rapide, notamment en ce qui concerne la capacité et la taille de stockage, et par conséquent les forces du marché entraînent un renouvellement également accéléré des EEE (contenant d’importantes quantités de données à caractère personnel souvent sensibles). Il en résulte que non seulement le flux de DEEE est considéré être le flux de déchets qui progresse le plus rapidement dans l’UE (7), mais aussi qu’en cas d’élimination inappropriée, il existe un risque accru et évident de perte et de dispersion des données à caractère personnel stockées dans ces types d’EEE.

| 7. | Depuis longtemps, les politiques de l’Union européenne relatives à l’environnement et au développement durable visent à réduire les déchets des ressources naturelles et à adopter des mesures de prévention de la pollution. |
| --- | --- |

7.

Depuis longtemps, les politiques de l’Union européenne relatives à l’environnement et au développement durable visent à réduire les déchets des ressources naturelles et à adopter des mesures de prévention de la pollution.

| 8. | L’élimination, la réutilisation et le recyclage des DEEE entrent dans ce cadre. Ces mesures cherchent à empêcher l’élimination des équipements électriques et électroniques avec les déchets mixtes en obligeant les producteurs à assurer l’élimination de la manière spécifiée par la directive. |
| --- | --- |

8.

L’élimination, la réutilisation et le recyclage des DEEE entrent dans ce cadre. Ces mesures cherchent à empêcher l’élimination des équipements électriques et électroniques avec les déchets mixtes en obligeant les producteurs à assurer l’élimination de la manière spécifiée par la directive.

| 9. | En particulier, parmi les diverses mesures envisagées par la directive, il est intéressant de souligner celles qui concernent la réutilisation (c’est-à-dire toute opération permettant d’utiliser des DEEE ou certains de leurs éléments aux mêmes fins que celles pour lesquelles ils ont été conçus, y compris la poursuite de l’utilisation des équipements où éléments d’équipements qui sont déposés aux points de collecte ou rapportés aux distributeurs, recycleurs ou fabricants), le recyclage (c’est-à-dire le retraitement, dans un processus de production, des déchets aux mêmes fins ou à d’autres fins) et de trouver d’autres formes de récupération des DEEE visant à réduire l’élimination des déchets [voir les articles 1 et 3, points d) et e), de la directive]. |
| --- | --- |

9.

En particulier, parmi les diverses mesures envisagées par la directive, il est intéressant de souligner celles qui concernent la réutilisation (c’est-à-dire toute opération permettant d’utiliser des DEEE ou certains de leurs éléments aux mêmes fins que celles pour lesquelles ils ont été conçus, y compris la poursuite de l’utilisation des équipements où éléments d’équipements qui sont déposés aux points de collecte ou rapportés aux distributeurs, recycleurs ou fabricants), le recyclage (c’est-à-dire le retraitement, dans un processus de production, des déchets aux mêmes fins ou à d’autres fins) et de trouver d’autres formes de récupération des DEEE visant à réduire l’élimination des déchets [voir les articles 1 et 3, points d) et e), de la directive].

| 10. | Ces opérations, en particulier celles qui concernent la réutilisation et le recyclage des DEEE, notamment des équipements informatiques et de télécommunications, peuvent présenter le risque, plus grand que par le passé, que ceux qui collectent les DEEE ou qui vendent et achètent les appareils usagés ou recyclés puissent prendre connaissance des données à caractère personnel qui sont stockées dedans. Ces données peuvent souvent être sensibles ou concerner de grands nombres de personnes physiques. |
| --- | --- |

10.

Ces opérations, en particulier celles qui concernent la réutilisation et le recyclage des DEEE, notamment des équipements informatiques et de télécommunications, peuvent présenter le risque, plus grand que par le passé, que ceux qui collectent les DEEE ou qui vendent et achètent les appareils usagés ou recyclés puissent prendre connaissance des données à caractère personnel qui sont stockées dedans. Ces données peuvent souvent être sensibles ou concerner de grands nombres de personnes physiques.

| 11. | Pour toutes ces raisons, le CEPD considère qu’il est urgent d’informer toutes les parties concernées (utilisateurs et producteurs d’EEE) des risques relatifs aux données à caractère personnel, notamment en phase finale du cycle de vie des EEE. À ce stade, bien que les EEE aient perdu une bonne partie de leur valeur économique, ils sont susceptibles de contenir de grandes quantités de données à caractère personnel et d’avoir par conséquent une forte valeur «intrinsèque» de ce point de vue et/ou d’autres. |
| --- | --- |

11.

Pour toutes ces raisons, le CEPD considère qu’il est urgent d’informer toutes les parties concernées (utilisateurs et producteurs d’EEE) des risques relatifs aux données à caractère personnel, notamment en phase finale du cycle de vie des EEE. À ce stade, bien que les EEE aient perdu une bonne partie de leur valeur économique, ils sont susceptibles de contenir de grandes quantités de données à caractère personnel et d’avoir par conséquent une forte valeur «intrinsèque» de ce point de vue et/ou d’autres.

III.   ANALYSE DE LA PROPOSITION

III.1.   Applicabilité de la directive 95/46/CE

| 12. | Le CEPD n’a aucune observation à faire concernant l’objectif général de la proposition et soutient totalement l’initiative prise, qui souhaite améliorer les politiques favorables à l’environnement adoptées dans le domaine des DEEE. |
| --- | --- |

12.

Le CEPD n’a aucune observation à faire concernant l’objectif général de la proposition et soutient totalement l’initiative prise, qui souhaite améliorer les politiques favorables à l’environnement adoptées dans le domaine des DEEE.

| 13. | Toutefois, la proposition, ainsi que la directive, met uniquement l’accent sur les risques environnementaux liés à l’élimination des DEEE. Elle ne tient pas compte des risques supplémentaires, pour les personnes physiques et/ou les organisations, pouvant résulter des opérations d’élimination, de réutilisation ou de recyclage des DEEE, en particulier de ceux qui sont liés à la possibilité d’une acquisition inappropriée de données à caractère personnel stockées dans les DEEE, de leur divulgation ou de leur diffusion. |
| --- | --- |

13.

Toutefois, la proposition, ainsi que la directive, met uniquement l’accent sur les risques environnementaux liés à l’élimination des DEEE. Elle ne tient pas compte des risques supplémentaires, pour les personnes physiques et/ou les organisations, pouvant résulter des opérations d’élimination, de réutilisation ou de recyclage des DEEE, en particulier de ceux qui sont liés à la possibilité d’une acquisition inappropriée de données à caractère personnel stockées dans les DEEE, de leur divulgation ou de leur diffusion.

| 14. | Il est important de noter que la directive 95/46/CE (8) s’applique à «toute opération ou ensemble d’opérations effectuées sur des données à caractère personnel», y compris leur «effacement ou leur destruction» [article 2 point b)]. L’élimination des EEE peut inclure des opérations de traitement de données. Pour cette raison, il y a chevauchement entre la proposition et la directive susmentionnée, et les règles de protection des données peuvent s’appliquer aux activités couvertes par la proposition. |
| --- | --- |

14.

Il est important de noter que la directive 95/46/CE (8) s’applique à «toute opération ou ensemble d’opérations effectuées sur des données à caractère personnel», y compris leur «effacement ou leur destruction» [article 2 point b)]. L’élimination des EEE peut inclure des opérations de traitement de données. Pour cette raison, il y a chevauchement entre la proposition et la directive susmentionnée, et les règles de protection des données peuvent s’appliquer aux activités couvertes par la proposition.

III.2.   Élimination des EEE et mesures de sécurité

| 15. | Le CEPD a l’intention d’attirer l’attention sur les risques considérables auxquels sont exposées les personnes physiques et/ou les organisations agissant comme «responsables du traitement» (9) lorsque les DEEE, en particulier les équipements informatiques et de télécommunications, contiennent des données à caractère personnel concernant les utilisateurs de ces équipements et/ou des tiers au moment de leur élimination. L’accès illégal à ces informations à caractère personnel ou la divulgation de telles informations consistant parfois en catégories spéciales de données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, et en données concernant la santé et la vie sexuelle (appelées «données sensibles») (10), peuvent en effet affecter la vie privée et la dignité des personnes auxquelles ces informations sont liées, ainsi que d’autres intérêts légitimes des personnes physiques/organisations concernées (par ex. des intérêts économiques). |
| --- | --- |

15.

Le CEPD a l’intention d’attirer l’attention sur les risques considérables auxquels sont exposées les personnes physiques et/ou les organisations agissant comme «responsables du traitement» (9) lorsque les DEEE, en particulier les équipements informatiques et de télécommunications, contiennent des données à caractère personnel concernant les utilisateurs de ces équipements et/ou des tiers au moment de leur élimination. L’accès illégal à ces informations à caractère personnel ou la divulgation de telles informations consistant parfois en catégories spéciales de données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, et en données concernant la santé et la vie sexuelle (appelées «données sensibles») (10), peuvent en effet affecter la vie privée et la dignité des personnes auxquelles ces informations sont liées, ainsi que d’autres intérêts légitimes des personnes physiques/organisations concernées (par ex. des intérêts économiques).

| 16. | D’une manière générale, le CEPD considère qu’il est nécessaire de souligner l’importance de l’adoption de mesures de sécurité appropriées à chaque stade (du début à la fin) du traitement des données à caractère personnel, comme cela a déjà été souligné à plusieurs reprises dans d’autres avis (11). Cela vaut a fortiori pour la phase délicate au cours de laquelle le responsable du traitement a l’intention d’éliminer des équipements contenant des données à caractère personnel. |
| --- | --- |

16.

D’une manière générale, le CEPD considère qu’il est nécessaire de souligner l’importance de l’adoption de mesures de sécurité appropriées à chaque stade (du début à la fin) du traitement des données à caractère personnel, comme cela a déjà été souligné à plusieurs reprises dans d’autres avis (11). Cela vaut a fortiori pour la phase délicate au cours de laquelle le responsable du traitement a l’intention d’éliminer des équipements contenant des données à caractère personnel.

| 17. | En effet, le respect de mesures de sécurité est souvent une condition préalable à la garantie effective du droit à la protection des données à caractère personnel. |
| --- | --- |

17.

En effet, le respect de mesures de sécurité est souvent une condition préalable à la garantie effective du droit à la protection des données à caractère personnel.

| 18. | Il serait par conséquent illogique d’instaurer l’obligation de mettre en place des mesures de sécurité (parfois coûteuses) dans le cours normal des opérations de traitement des données à caractère personnel (comme envisagé dans l’article 17 de la directive 95/46/CE, le cas échéant) (12) puis d’omettre tout simplement de prendre en considération l’adoption de mesures de sécurité suffisantes concernant l’élimination des DEEE. |
| --- | --- |

18.

Il serait par conséquent illogique d’instaurer l’obligation de mettre en place des mesures de sécurité (parfois coûteuses) dans le cours normal des opérations de traitement des données à caractère personnel (comme envisagé dans l’article 17 de la directive 95/46/CE, le cas échéant) (12) puis d’omettre tout simplement de prendre en considération l’adoption de mesures de sécurité suffisantes concernant l’élimination des DEEE.

| 19. | Il serait tout aussi illogique de donner de l’importance à la question de la sécurité des données au point d’introduire la notification des violations de données à caractère personnel par l’intermédiaire de l’article 3 de la directive 2009/136/CE (13) puis de ne prévoir aucune garantie ou mesure de sécurité pendant l’élimination des DEEE ainsi qu’en cas de réutilisation ou de recyclage de DEEE. |
| --- | --- |

19.

Il serait tout aussi illogique de donner de l’importance à la question de la sécurité des données au point d’introduire la notification des violations de données à caractère personnel par l’intermédiaire de l’article 3 de la directive 2009/136/CE (13) puis de ne prévoir aucune garantie ou mesure de sécurité pendant l’élimination des DEEE ainsi qu’en cas de réutilisation ou de recyclage de DEEE.

| 20. | Le CEPD regrette que la proposition ne tienne pas compte des effets potentiellement préjudiciables que l’élimination des DEEE peut avoir sur la protection des données à caractère personnel stockées dans les équipements «usagés». |
| --- | --- |

20.

Le CEPD regrette que la proposition ne tienne pas compte des effets potentiellement préjudiciables que l’élimination des DEEE peut avoir sur la protection des données à caractère personnel stockées dans les équipements «usagés».

| 21. | Il n’a pas non plus été tenu compte de cet aspect dans l’évaluation d’impact effectuée par la Commission (14) alors que l’expérience montre qu’en ne prenant pas de mesures de sécurité appropriées dans le cas de l’élimination des DEEE on pouvait compromettre la protection des données à caractère personnel (15). En raison de la complexité des questions concernées (par exemple la multitude de méthodes, technologies et parties prenantes légitimes dans le cycle d’élimination des DEEE), le CEPD considère qu’il aurait été normal d’effectuer une évaluation de l’impact sur la protection de la vie privée et des données portant sur les processus liés à l’élimination des DEEE. |
| --- | --- |

21.

Il n’a pas non plus été tenu compte de cet aspect dans l’évaluation d’impact effectuée par la Commission (14) alors que l’expérience montre qu’en ne prenant pas de mesures de sécurité appropriées dans le cas de l’élimination des DEEE on pouvait compromettre la protection des données à caractère personnel (15). En raison de la complexité des questions concernées (par exemple la multitude de méthodes, technologies et parties prenantes légitimes dans le cycle d’élimination des DEEE), le CEPD considère qu’il aurait été normal d’effectuer une évaluation de l’impact sur la protection de la vie privée et des données portant sur les processus liés à l’élimination des DEEE.

| 22. | Néanmoins, le CEPD conseille vivement de recenser les «meilleures techniques disponibles» pour la protection de la vie privé et des données, et pour la sécurité, dans ce domaine. |
| --- | --- |

22.

Néanmoins, le CEPD conseille vivement de recenser les «meilleures techniques disponibles» pour la protection de la vie privé et des données, et pour la sécurité, dans ce domaine.

| 23. | Preuve supplémentaire, lors de la consultation publique ayant précédé la refonte de la directive, des questions concernant la sécurité et la protection des données à caractère personnel ont parfois été soulevées par les parties prenantes, notamment par des entreprises d’informatique et de communications électroniques (16). |
| --- | --- |

23.

Preuve supplémentaire, lors de la consultation publique ayant précédé la refonte de la directive, des questions concernant la sécurité et la protection des données à caractère personnel ont parfois été soulevées par les parties prenantes, notamment par des entreprises d’informatique et de communications électroniques (16).

| 24. | Enfin, il est intéressant de souligner que certaines autorités nationales de protection des données ont publié des lignes directrices visant à réduire au minimum les risques pouvant résulter du fait que les mesures de sécurité nécessaires n’ont pas été prises, notamment au moment de l’élimination des équipements auxquels s’applique la directive (17). |
| --- | --- |

24.

Enfin, il est intéressant de souligner que certaines autorités nationales de protection des données ont publié des lignes directrices visant à réduire au minimum les risques pouvant résulter du fait que les mesures de sécurité nécessaires n’ont pas été prises, notamment au moment de l’élimination des équipements auxquels s’applique la directive (17).

| 25. | Le CEPD rappelle que la directive 95/46/CE est applicable au stade d’élimination des DEEE contenant des données à caractère personnel. Les responsables du traitement — notamment ceux qui utilisent des équipements informatiques et de communications — sont par conséquent tenus de se soumettre à leurs obligations de sécurité visant à empêcher la communication ou la divulgation intempestive de données à caractère personnel. À cet effet, et afin de ne pas être tenu responsable de la violation des mesures de sécurité, le responsable du traitement du secteur public ou privé, en collaboration avec les agents de protection des données (s’ils sont présents), doit adopter des politiques appropriées d’élimination des DEEE contenant des données à caractère personnel. |
| --- | --- |

25.

Le CEPD rappelle que la directive 95/46/CE est applicable au stade d’élimination des DEEE contenant des données à caractère personnel. Les responsables du traitement — notamment ceux qui utilisent des équipements informatiques et de communications — sont par conséquent tenus de se soumettre à leurs obligations de sécurité visant à empêcher la communication ou la divulgation intempestive de données à caractère personnel. À cet effet, et afin de ne pas être tenu responsable de la violation des mesures de sécurité, le responsable du traitement du secteur public ou privé, en collaboration avec les agents de protection des données (s’ils sont présents), doit adopter des politiques appropriées d’élimination des DEEE contenant des données à caractère personnel.

| 26. | Lorsque les responsables du traitement chargés d’éliminer les EEE n’ont pas les compétences et/ou le savoir-faire technique nécessaires pour effacer les données à caractère personnel concernées, ils peuvent confier cette tâche à des sous-traitants qualifiés (par ex. des centres d’assistance, des fabricants et distributeurs d’équipements) dans les conditions stipulées dans l’article 17, paragraphes 2, 3 et 4 de la directive 95/46/CE. Ces sous-traitants doivent, de leur côté, certifier la réalisation des opérations en question et/ou les exécuter. |
| --- | --- |

26.

Lorsque les responsables du traitement chargés d’éliminer les EEE n’ont pas les compétences et/ou le savoir-faire technique nécessaires pour effacer les données à caractère personnel concernées, ils peuvent confier cette tâche à des sous-traitants qualifiés (par ex. des centres d’assistance, des fabricants et distributeurs d’équipements) dans les conditions stipulées dans l’article 17, paragraphes 2, 3 et 4 de la directive 95/46/CE. Ces sous-traitants doivent, de leur côté, certifier la réalisation des opérations en question et/ou les exécuter.

| 27. | Compte tenu de ces considérations, le CEPD conclut que la refonte de la directive doit ajouter les principes de protection des données aux dispositions concernant la protection de l’environnement. |
| --- | --- |

27.

Compte tenu de ces considérations, le CEPD conclut que la refonte de la directive doit ajouter les principes de protection des données aux dispositions concernant la protection de l’environnement.

| 28. | Le CEPD recommande donc que le Conseil et le Parlement européen ajoutent à l’actuelle proposition une disposition spécifique selon laquelle la directive concerne l’élimination des DEEE sans préjudice de la directive 95/46/CE. |
| --- | --- |

28.

Le CEPD recommande donc que le Conseil et le Parlement européen ajoutent à l’actuelle proposition une disposition spécifique selon laquelle la directive concerne l’élimination des DEEE sans préjudice de la directive 95/46/CE.

III.3.   Réutilisation ou recyclage des DEEE et mesures de sécurité

| 29. | En situation de prendre des décisions autonomes concernant les données stockées dans les EEE, les responsables des opérations d’élimination peuvent être considérés comme des «responsables du traitement» (18). Ils doivent par conséquent adopter des procédures internes leur permettant d’éviter toutes opérations de traitement inutiles portant sur des données à caractère personnel stockées dans les DEEE, à savoir d’autres opérations que celles qui sont strictement nécessaires pour vérifier l’élimination effective des données qu’ils contiennent. |
| --- | --- |

29.

En situation de prendre des décisions autonomes concernant les données stockées dans les EEE, les responsables des opérations d’élimination peuvent être considérés comme des «responsables du traitement» (18). Ils doivent par conséquent adopter des procédures internes leur permettant d’éviter toutes opérations de traitement inutiles portant sur des données à caractère personnel stockées dans les DEEE, à savoir d’autres opérations que celles qui sont strictement nécessaires pour vérifier l’élimination effective des données qu’ils contiennent.

| 30. | De plus, ils ne doivent pas permettre à des personnes non autorisées de prendre connaissance des données stockées dans les EEE ou d’en effectuer le traitement. En particulier, lorsque les supports de stockage sont recyclés ou réutilisés et que, par conséquent, ils sont remis sur le marché, il y a un risque accru de communication ou de divulgation intempestives de données à caractère personnel, ainsi qu’un besoin d’empêcher tout accès non autorisé aux données à caractère personnel. |
| --- | --- |

30.

De plus, ils ne doivent pas permettre à des personnes non autorisées de prendre connaissance des données stockées dans les EEE ou d’en effectuer le traitement. En particulier, lorsque les supports de stockage sont recyclés ou réutilisés et que, par conséquent, ils sont remis sur le marché, il y a un risque accru de communication ou de divulgation intempestives de données à caractère personnel, ainsi qu’un besoin d’empêcher tout accès non autorisé aux données à caractère personnel.

| 31. | Le CEPD recommande par conséquent que le Conseil et le Parlement européen ajoutent à l’actuelle proposition une disposition particulière visant à interdire la commercialisation d’appareils usagés n’ayant pas été préalablement soumis à des mesures appropriées de sécurisation, conformément aux normes techniques les plus récentes (par exemple écrasement multi-passe), pour effacer les données à caractère personnel qu’ils sont susceptibles de contenir. |
| --- | --- |

31.

Le CEPD recommande par conséquent que le Conseil et le Parlement européen ajoutent à l’actuelle proposition une disposition particulière visant à interdire la commercialisation d’appareils usagés n’ayant pas été préalablement soumis à des mesures appropriées de sécurisation, conformément aux normes techniques les plus récentes (par exemple écrasement multi-passe), pour effacer les données à caractère personnel qu’ils sont susceptibles de contenir.

III.4.   Respect de la vie privée et prise en compte de la sécurité «dès la conception»

| 32. | Le futur cadre juridique applicable aux e-déchets doit non seulement comporter une disposition spécifique concernant l’élargissement du «principe d’éco-design» des équipements (voir l’article 4 de la proposition concernant la «Conception du produit», mais également — comme indiqué préalablement dans d’autres avis du CEPD (19) — une disposition concernant le principe de «vie privée assuré dès la conception» (20) ou, plus précisément, dans ce domaine, le principe de «sécurité assuré dès la conception» (21). Le respect de la vie privée et la protection des données doivent, autant que possible, être intégrés «par défaut» dans la conception des équipements électriques et électroniques, afin de permettre aux utilisateurs d’effacer — simplement et gratuitement — les données à caractère personnel susceptibles d’être présentes dans les équipements au moment de leur élimination (22). |
| --- | --- |

32.

Le futur cadre juridique applicable aux e-déchets doit non seulement comporter une disposition spécifique concernant l’élargissement du «principe d’éco-design» des équipements (voir l’article 4 de la proposition concernant la «Conception du produit», mais également — comme indiqué préalablement dans d’autres avis du CEPD (19) — une disposition concernant le principe de «vie privée assuré dès la conception» (20) ou, plus précisément, dans ce domaine, le principe de «sécurité assuré dès la conception» (21). Le respect de la vie privée et la protection des données doivent, autant que possible, être intégrés «par défaut» dans la conception des équipements électriques et électroniques, afin de permettre aux utilisateurs d’effacer — simplement et gratuitement — les données à caractère personnel susceptibles d’être présentes dans les équipements au moment de leur élimination (22).

| 33. | Cette approche est clairement appuyée par l’article 3, paragraphe 3, point c) de la directive 1999/5/CE (23) concernant la conception des équipements hertziens et des équipements terminaux de télécommunications, et par l’article 14, paragraphe 3, de la directive 2002/58/CE (24). |
| --- | --- |

33.

Cette approche est clairement appuyée par l’article 3, paragraphe 3, point c) de la directive 1999/5/CE (23) concernant la conception des équipements hertziens et des équipements terminaux de télécommunications, et par l’article 14, paragraphe 3, de la directive 2002/58/CE (24).

| 34. | Par conséquent, les producteurs doivent «intégrer» des sauvegardes visant à assurer le respect de la vie privée et la sécurité des données au moyen de solutions technologiques (25). Dans ce contexte, les initiatives visant à informer les personnes concernées de la nécessité d’effacer les données à caractère personnel avant de procéder à l’élimination des DEEE (y compris les producteurs offrant des logiciels gratuits à cette fin) doivent également être encouragées et soutenues (26). |
| --- | --- |

34.

Par conséquent, les producteurs doivent «intégrer» des sauvegardes visant à assurer le respect de la vie privée et la sécurité des données au moyen de solutions technologiques (25). Dans ce contexte, les initiatives visant à informer les personnes concernées de la nécessité d’effacer les données à caractère personnel avant de procéder à l’élimination des DEEE (y compris les producteurs offrant des logiciels gratuits à cette fin) doivent également être encouragées et soutenues (26).

IV.   CONCLUSIONS

| 35. | Compte tenu de ce qui précède, le CEPD recommande que les autorités de protection des données, en particulier par l’intermédiaire du groupe de travail «Article 29», et le CEPD lui-même collaborent étroitement aux initiatives concernant l’élimination des DEEE grâce à un processus de consultation mené suffisamment tôt avant l’élaboration de mesures pertinentes. |
| --- | --- |

35.

Compte tenu de ce qui précède, le CEPD recommande que les autorités de protection des données, en particulier par l’intermédiaire du groupe de travail «Article 29», et le CEPD lui-même collaborent étroitement aux initiatives concernant l’élimination des DEEE grâce à un processus de consultation mené suffisamment tôt avant l’élaboration de mesures pertinentes.

| 36. | Compte tenu du contexte dans lequel les données à caractère personnel sont traitées, le CEPD suggère que la proposition comporte des dispositions particulières:






  — | déclarant que la directive relative aux DEEE s’applique sans préjudice de la directive 95/46/CE, |
| --- | --- | --- |

36.

Compte tenu du contexte dans lequel les données à caractère personnel sont traitées, le CEPD suggère que la proposition comporte des dispositions particulières:

—

déclarant que la directive relative aux DEEE s’applique sans préjudice de la directive 95/46/CE,

| — | interdisant la commercialisation d’équipements usagés n’ayant pas été préalablement soumis à des mesures de sécurité appropriées, conformément aux normes techniques les plus modernes, visant à effacer les données à caractère personnel qu’ils sont susceptibles de contenir, |
| --- | --- |

—

interdisant la commercialisation d’équipements usagés n’ayant pas été préalablement soumis à des mesures de sécurité appropriées, conformément aux normes techniques les plus modernes, visant à effacer les données à caractère personnel qu’ils sont susceptibles de contenir,

| — | concernant le principe du «respect de la vie privée dès la conception» ou de la «sécurité des données dès la conception»: autant que possible, le principe de respect de la vie privée et de protection des données à caractère personnel doit être intégré «par défaut» dans la conception des équipements électriques et électroniques, afin de permettre aux utilisateurs d’effacer — simplement et gratuitement — les données à caractère personnel susceptibles d’être présentes dans ces équipements au moment de leur élimination. |
| --- | --- |

—

concernant le principe du «respect de la vie privée dès la conception» ou de la «sécurité des données dès la conception»: autant que possible, le principe de respect de la vie privée et de protection des données à caractère personnel doit être intégré «par défaut» dans la conception des équipements électriques et électroniques, afin de permettre aux utilisateurs d’effacer — simplement et gratuitement — les données à caractère personnel susceptibles d’être présentes dans ces équipements au moment de leur élimination.

| 37. | Par conséquent, le CEPD conseille vivement que la proposition soit modifiée, conformément à la directive 95/46/CE, comme suit:
  —   considérant (11):

  «En outre, la présente directive doit s’appliquer sans préjudice de la législation relative à la protection des données, notamment la directive 95/46/CE. Les équipements électriques et électroniques (EEE) constituant un vaste groupe de produits incluant un certain nombre de supports capables de stocker des données à caractère personnel (par exemple les équipements informatiques et de télécommunications), les opérations d’élimination les concernant, notamment leur réutilisation et leur recyclage, peuvent présenter des risques d’accès non autorisé aux données à caractère personnel stockées dans les DEEE. Par conséquent, des sauvegardes visant à assurer le respect de la vie privée et la protection des données à caractère personnel doivent autant que possible être intégrées par défaut dans la conception des équipements électriques et électroniques capables de stocker des données à caractère personnel, afin de permettre aux utilisateurs d’effacer — simplement et gratuitement — les éventuelles données de ce type présentes au moment de l’élimination de ces équipements.»,

  —   article 2, paragraphe 3:

  «La présente directive s’applique sans préjudice de la législation relative à la protection des données, notamment la directive 95/46/CE.» |
| --- | --- |

37.

Par conséquent, le CEPD conseille vivement que la proposition soit modifiée, conformément à la directive 95/46/CE, comme suit:

—   considérant (11):

«En outre, la présente directive doit s’appliquer sans préjudice de la législation relative à la protection des données, notamment la directive 95/46/CE. Les équipements électriques et électroniques (EEE) constituant un vaste groupe de produits incluant un certain nombre de supports capables de stocker des données à caractère personnel (par exemple les équipements informatiques et de télécommunications), les opérations d’élimination les concernant, notamment leur réutilisation et leur recyclage, peuvent présenter des risques d’accès non autorisé aux données à caractère personnel stockées dans les DEEE. Par conséquent, des sauvegardes visant à assurer le respect de la vie privée et la protection des données à caractère personnel doivent autant que possible être intégrées par défaut dans la conception des équipements électriques et électroniques capables de stocker des données à caractère personnel, afin de permettre aux utilisateurs d’effacer — simplement et gratuitement — les éventuelles données de ce type présentes au moment de l’élimination de ces équipements.»,

—   article 2, paragraphe 3:

«La présente directive s’applique sans préjudice de la législation relative à la protection des données, notamment la directive 95/46/CE.»

| 38. | En outre, le CEPD estime opportun de prendre en considération les modifications suivantes:
  —   article 4, paragraphe 2:

  «Les États membres encouragent les mesures visant à favoriser la conception et la production d’équipements électriques et électroniques facilitant l’effacement des données à caractère personnel éventuellement contenues dans les EEE au moment de leur élimination»,

  —   article 8, paragraphe 7:

  «Les États membres s’assurent que tout DEEE collecté, contenant des données à caractère personnel et soumis à un traitement en vue de son recyclage ou de sa réutilisation, ne sera pas commercialisé tant que lesdites données n’auront pas été effacées en appliquant les meilleures techniques disponibles.»,

  —   article 14, paragraphe 6:

  «Les États membres peuvent exiger des producteurs et/ou des distributeurs qu’ils donnent aux utilisateurs d’EEE contenant des données à caractère personnel, des informations, par ex. dans le mode d’emploi ou au point de vente, concernant la nécessité d’effacer les données à caractère personnel susceptibles d’être contenues dans les EEE avant l’élimination de ces derniers». |
| --- | --- |

38.

En outre, le CEPD estime opportun de prendre en considération les modifications suivantes:

—   article 4, paragraphe 2:

«Les États membres encouragent les mesures visant à favoriser la conception et la production d’équipements électriques et électroniques facilitant l’effacement des données à caractère personnel éventuellement contenues dans les EEE au moment de leur élimination»,

—   article 8, paragraphe 7:

«Les États membres s’assurent que tout DEEE collecté, contenant des données à caractère personnel et soumis à un traitement en vue de son recyclage ou de sa réutilisation, ne sera pas commercialisé tant que lesdites données n’auront pas été effacées en appliquant les meilleures techniques disponibles.»,

—   article 14, paragraphe 6:

«Les États membres peuvent exiger des producteurs et/ou des distributeurs qu’ils donnent aux utilisateurs d’EEE contenant des données à caractère personnel, des informations, par ex. dans le mode d’emploi ou au point de vente, concernant la nécessité d’effacer les données à caractère personnel susceptibles d’être contenues dans les EEE avant l’élimination de ces derniers».

Fait à Bruxelles, le 14 avril 2010.

Peter HUSTINX

Contrôleur européen de la protection des données

---

(1)  COM(2008) 810 final.

1

(2)  JO L 37, 13.2.2003, p. 24.

2

(3)  Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, JO L 8 du 12.1.2001, p. 1.

3

o

(4)  Voir CJE, 23.2.1999, C-42/97 Parlement européen contre Conseil de l’Union européenne, [1999] ECR I-869, par. 43.

4

(5)  Voir également, inter alia, CJE, 30.1.2001, C-36/98 Espagne contre Conseil, [2001] ECR I-779, par. 59: «Si l'examen d'un acte communautaire démontre qu'il poursuit une double finalité ou qu'il a une double composante et si l'une de celles-ci est identifiable comme principale ou prépondérante, tandis que l'autre n'est qu'accessoire, l'acte doit être fondé sur une seule base juridique, à savoir celle exigée par la finalité ou composante principale ou prépondérante».

5

inter alia

(6)  Accord interinstitutionnel du 28 novembre 2001 pour un recours plus structuré à la technique de la refonte des actes juridiques, JO C 77 du 28.3.2002, p. 1.

6

(7)  Voir le document de travail du personnel de la Commission accompagnant la proposition d’une directive du Parlement européen et du Conseil relative aux déchets d’équipements électriques et électroniques (DEEE) (refonte). Évaluation de l’impact, 3.12.2008 [COM(2008) 810 final] SEC(2008) 2933, p. 17.

7

(8)  Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, JO L 281 du 23.11.1995, p. 31.

8

(9)  Pour la définition de «responsable du traitement», voir l’article 2, point d), de la directive 95/46/CE.

9

(10)  Voir article 8, directive 95/46/CE.

10

(11)  Voir l’avis du CEPD sur l’agence pour systèmes d’information à grande échelle (JO C 70 du 19.3.2010, p. 13), points 46 et 47; l’avis sur la proposition d’une directive relative à l’application des droits des patients en matière de soins de santé transfrontaliers (JO C 128 du 6.6.2009, p. 20), points 27-31.

11

(12)  Voir l’article 3 de la même directive.

12

(13)  Directive 2009/136/CE du Parlement européen et du Conseil du 25 novembre 2009 modifiant la directive 2002/22/CE concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques, directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, et règlement (CE) no 2006/2004 relatif à la coopération entre les autorités nationales chargées de veiller à l’application de la législation en matière de protection des consommateurs, JO L 337 du 18.12.2009, p. 11.

13

o

(14)  Document de travail du personnel de la Commission accompagnant la proposition d’une directive du Parlement européen et du Conseil relative aux déchets d’équipements électriques et électroniques (DEEE) (refonte), SEC(2008) 2933, 3.12.2008; mais voir également United Nations University, 2008 Review of Directive 2002/96/EC on Waste Electrical and Electronic Equipment (Examen de la directive 2002/96/CE relative aux déchets d’équipements électriques et électroniques — DEEE), Commission européenne, Belgique, 2007, p. 273 (http://ec.europa.eu/environment/waste/weee/pdf/final_rep_unu.pdf); Data security is also an issue — removing personal data from a hard-drive (La sécurité des données est également en cause — élimination de données à caractère personnel d’un disque dur).

14

Review of Directive 2002/96/EC on Waste Electrical and Electronic Equipment

Data security is also an issue

removing personal data from a hard-drive

(15)  Voir, par ex., l’article en ligne Children's files on eBay computer de la BBC, 4 mai 2007, selon lequel un ordinateur contenant des données à caractère personnel sur le placement et l’adoption d’enfants a été vendu sur eBay (http://news.bbc.co.uk/2/hi/uk_news/england/6627265.stm); voir également l’article en ligne Bank customer data sold on eBay de la BBC, 26 août 2008, selon lequel un disque dur contenant des données à caractère personnel sur un million de clients d’une banque a été vendu sur eBay (http://news.bbc.co.uk/2/hi/uk_news/7581540.stm).

15

Children's files on eBay computer

Bank customer data sold on eBay

(16)  Voir HP, Stakeholder Consultation on the Review of Directive 2002/96/EC of the European Parliament and of the Council on Waste Electrical and Electronic Equipment (consultation des parties prenantes sur l’examen de la directive 2002/96/CE du Parlement européen et du Conseil, relative aux déchets d’équipements électriques et électroniques — DEEE), p. 7-8; DELL (projet de commentaires), WEEE Review Policy Options of the stakeholder consultation on the review of directive 2002/96/CE of the European Parliament and of the Council on Waste Electrical And Electronic Equipment (options politiques de la consultation des parties prenantes sur l’examen de la directive 2002/96/CE du Parlement européen et du Conseil, relative aux déchets d’équipements électriques et électroniques — DEEE), p. 2, point 1.1 et 4, point 1.3 (3.6.2008); Royal Philips Electronics Position and Proposal, Stakeholder consultation on the Revision of the WEEE Directive (consultation des parties prenantes sur la révision de la directive DEEE), p. 12 (5.6.2008) (http://circa.europa.eu/Public/irc/env/weee_2008_review/library). Voir également WEEE Consultation Response, Summary of responses and Government response to fourth consultation on implementation of Directives 2002/96/EC and 2003/108/EC on Waste Electrical and Electronic Equipment, décembre 2006, p. 30: «Data protection and security. Some waste management companies would like there to be some guidance issued on data protection and security, particularly in light of the fact they will be handling sensitive data» (Protection et sécurité des données. Des entreprises de gestion des déchets aimeraient que soient publiés des conseils sur la protection et la sécurité des données, notamment compte tenu du fait qu’elles doivent traiter des données sensibles) (http://www.berr.gov.uk/files/file35961.pdf).

16

Stakeholder Consultation on the Review of Directive 2002/96/EC of the European Parliament and of the Council on Waste Electrical and Electronic Equipment

WEEE Review Policy Options of the stakeholder consultation on the review of directive 2002/96/CE of the European Parliament and of the Council on Waste Electrical And Electronic Equipment

Stakeholder consultation on the Revision of the WEEE Directive

WEEE Consultation Response, Summary of responses and Government response to fourth consultation on implementation of Directives 2002/96/EC and 2003/108/EC on Waste Electrical and Electronic Equipment

(17)  Landesbeauftragter für Datenschutz und Informationsfreiheit Bremen, Entwicklung eines Konzeptes zur Löschung und Datenträgervernichtung durch Behörden und Unternehmen, 16. Mai 2007 (http://www.datenschutz-bremen.de/rtf/datenloeschung.rtf); Garante per la protezione dei dati personali, Electrical and Electronic Waste and Data Protection, 13 octobre 2008 (http://www.garanteprivacy.it/garante/doc.jsp?ID=1583482), également mentionné dans le douzième rapport annuel du groupe de travail «Article 29» sur la protection des données, 16 juin 2009, p. 57; voir également International Working Group on Data Protection and Telecommunications, Recommendation on Data Protection and E-Waste, Sofia, 12-13.3.2009 (http://www.datenschutz-berlin.de/attachments/650/675.38.14.pdf?1264671551).

17

International Working Group on Data Protection and Telecommunications, Recommendation on Data Protection and E-Waste

(18)  The concept of controller is [...] functional, in the sense that it is intended to allocate responsibilities where the factual influence is, and thus based on a factual rather than a formal analysis (le concept de responsable du traitement est [...] fonctionnel en ce sens qu’il est prévu d’attribuer des responsabilités en fonction de l’influence factuelle, et par conséquent sur la base d’une analyse factuelle et non pas formelle): voir le groupe de travail «Article 29» sur la protection des données, WP 169, Opinion 1/2010 on the concepts of «controller» and «processor», adopté le 16 février 2010.

18

The concept of controller is [...] functional, in the sense that it is intended to allocate responsibilities where the factual influence is, and thus based on a

rather than a formal analysis

(19)  Voir, par ex., Le CEPD et la recherche et le développement technologique dans l’UE, document stratégique, 28 avril 2008, p. 2; avis du CEPD sur les systèmes de transport intelligents (JO C 47 du 25.2.2010, p. 6); avis du CEPD sur la pharmacovigilance (JO C 229 du 23.9.2009, p. 19).

19

(20)  Pour une large application du principe, voir le groupe de travail «Article 29» sur la protection des données — le groupe de travail sur la police et la justice, l’avenir de la protection de la vie privée. Contribution conjointe à la Consultation de la Commission européenne sur le cadre juridique du droit fondamental à la protection des données à caractère personnel, WP 168, adoptée le 1er décembre 2009, p. 3 et 12; voir également la recommandation de la Commission sur la mise en œuvre des principes de respect de la vie privée et de protection des données dans les applications reposant sur l’identification par radiofréquences, C(2009) 3200 final, p. 8.

20

er

(21)  Voir la communication de la Commission, Agenda européen de la recherche et de l’innovation en matière de sécurité — Position initiale de la Commission sur les principales constatations et recommandations du forum ESRIF, COM(2009) 691 final, p. 6 et 14.

21

(22)  Voir également EDPS, Opinion of 18 March 2010 on promoting trust in the Information Society by fostering data protection and privacy (CEPD, avis du 18 mars sur la promotion de la confiance dans la société de l’information en favorisant la protection des données et le respect de la vie privée).

22

EDPS, Opinion of 18 March 2010 on promoting trust in the Information Society by fostering data protection and privacy

(23)  Article 3, paragraphe 3, de la directive 1999/5/CE du Parlement européen et du Conseil du 9 mars 1999 concernant les équipements hertziens et les équipements terminaux de télécommunications et la reconnaissance mutuelle de leur conformité (JO L 91 du 7.4.1999, p. 10): «[...] la Commission peut décider que les appareils relevant de certaines catégories d’équipement ou certains types d’appareils sont construits de sorte qu’ils comportent des sauvegardes afin d’assurer la protection des données à caractère personnel et de la vie privée des utilisateurs et des abonnés».

23

(24)  «Au besoin, des mesures sont adoptées afin de garantir que les équipements terminaux soient construits de manière compatible avec le droit des utilisateurs de protéger et de contrôler l’utilisation de leurs données à caractère personnel, conformément à la directive 1999/5/CE et à la décision 87/95/CEE du Conseil du 22 décembre 1986 relative à la normalisation dans le domaine des technologies de l’information et des communications». Voir également le considérant 46 de la même directive, mentionné dans la note en bas de page 13.

24

(25)  En faveur de cette perspective stratégique, voir également le discours-programme de V. Reding lors de la Journée européenne de la protection des données, 28 janvier 2010, Parlement européen, Bruxelles, SPEECH/10/16: Businesses must use their power of innovation to improve the protection of privacy and personal data from the very beginning of the development cycle. Privacy by Design is a principle that is in the interest of both citizens and businesses. Privacy by Design will lead to better protection for individuals, as well as to trust and confidence in new services and products that will in turn have a positive impact on the economy. I have seen some encouraging examples, but much more needs to be done (les entreprises doivent faire appel à leurs capacités d’innovation pour améliorer le respect de la vie privée et la protection des données à caractère personnel dès le début du cycle de développement. Le respect de la vie privée dès la conception est un principe à appliquer dans l’intérêt des utilisateurs comme dans celui des entreprises. L’application de ce principe entraînera une meilleure protection des personnes physiques et renforcera la confiance qu’on peut avoir dans de nouveaux services et produits, cette confiance ayant à son tour un impact positif sur l’économie. J’ai constaté l’existence d’exemples encourageants, mais il reste encore beaucoup, beaucoup à faire).

25

Businesses must use their power of innovation to improve the protection of privacy and personal data from the very beginning of the development cycle. Privacy by Design is a principle that is in the interest of both citizens and businesses. Privacy by Design will lead to better protection for individuals, as well as to trust and confidence in new services and products that will in turn have a positive impact on the economy. I have seen some encouraging examples, but much more needs to be done

(26)  Voir, par ex., Royal Canadian Mounted Police, B2-002 — IT Media Overwrite and Secure Erase Products (05/2009), http://www.rcmp-grc.gc.ca/ts-st/pubs/it-ti-sec/index-eng.htm

26

---

II Communications

COMMUNICATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/22 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/22

---

Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE

Cas à l'égard desquels la Commission ne soulève pas d'objection

(Texte présentant de l'intérêt pour l'EEE, sauf en ce qui concerne les produits relevant de l'annexe I du traité)

2010/C 280/03

| Date d'adoption de la décision | 6.7.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | N 42/10 |
| État membre | Finlande |
| Région | — |
| Titre (et/ou nom du bénéficiaire) | Tuki maataloustuotannon lopettamiseen |
| Base juridique | Laki maatalouden harjoittamisesta luopumisen tukemisesta (612/2006), sellaisena kuin se on viimeksi muutettuna lailla (1787/2009); Valtioneuvoston asetus maatalouden harjoittamisesta luopumisen tukemisesta (25/2007). |
| Type de la mesure | Aide à la retraite anticipée |
| Objectif | Développement sectoriel |
| Forme de l'aide | Subvention directe |
| Budget | 184 millions EUR |
| Intensité | Variable |
| Durée | 1.1.2011-31.12.2014 |
| Secteurs économiques | Production primaire de produits agricoles |
| Nom et adresse de l'autorité chargée de l'octroi | Maa- ja metsätalousministeriö |
| PL 30 |
| FI-00023 Valtioneuvosto |
| Helsinki |
| SUOMI/FINLAND |

Date d'adoption de la décision

6.7.2010

Numéro de référence de l'aide d'État

N 42/10

État membre

Finlande

Région

—

Titre (et/ou nom du bénéficiaire)

Tuki maataloustuotannon lopettamiseen

Base juridique

Laki maatalouden harjoittamisesta luopumisen tukemisesta (612/2006), sellaisena kuin se on viimeksi muutettuna lailla (1787/2009); Valtioneuvoston asetus maatalouden harjoittamisesta luopumisen tukemisesta (25/2007).

Type de la mesure

Aide à la retraite anticipée

Objectif

Développement sectoriel

Forme de l'aide

Subvention directe

Budget

184 millions EUR

Intensité

Variable

Durée

1.1.2011-31.12.2014

Secteurs économiques

Production primaire de produits agricoles

Nom et adresse de l'autorité chargée de l'octroi

Maa- ja metsätalousministeriö

PL 30

FI-00023 Valtioneuvosto

Helsinki

SUOMI/FINLAND

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

| Date d'adoption de la décision | 20.7.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | N 131/10 |
| État membre | Bulgarie |
| Région | — |
| Titre (et/ou nom du bénéficiaire) | Държавна помощ за компенсиране на загуби, понесени от селскостопанските производители в напълно опустошени райони вследствие на природни бедствия или неблагоприятни климатични условия (нотификация на изменение) |
| Base juridique | Чл. 12, ал. 1, т. 2 и чл. 12, ал. 2, т. 1, буква „а“ от Закона за подпомагане на земеделските производители, ДВ 58/98
  Указания за предоставяне на държавна помощ за компенсиране на загуби в следствие на природни бедствия и неблагоприятни климатични условия |
| Type de la mesure | Régime d’aide |
| Objectif | Mauvaises conditions météorologiques, catastrophes naturelles ou événements extraordinaires |
| Forme de l'aide | Subvention directe |
| Budget | Budget total: 600 BGN (en millions) |
| Intensité | 80 % |
| Durée | Jusqu’au 31.12.2013 |
| Secteurs économiques | Agriculture |
| Nom et adresse de l'autorité chargée de l'octroi | Държавен фонд „Земеделие“ |
| Бул. „Цар Борис III“ No 136 |
| 1618 София/Sofia |
| БЪЛГАРИЯ/BULGARIA |

Date d'adoption de la décision

20.7.2010

Numéro de référence de l'aide d'État

N 131/10

État membre

Bulgarie

Région

—

Titre (et/ou nom du bénéficiaire)

Държавна помощ за компенсиране на загуби, понесени от селскостопанските производители в напълно опустошени райони вследствие на природни бедствия или неблагоприятни климатични условия (нотификация на изменение)

Base juridique

Чл. 12, ал. 1, т. 2 и чл. 12, ал. 2, т. 1, буква „а“ от Закона за подпомагане на земеделските производители, ДВ 58/98

Указания за предоставяне на държавна помощ за компенсиране на загуби в следствие на природни бедствия и неблагоприятни климатични условия

Type de la mesure

Régime d’aide

Objectif

Mauvaises conditions météorologiques, catastrophes naturelles ou événements extraordinaires

Forme de l'aide

Subvention directe

Budget

Budget total: 600 BGN (en millions)

Intensité

80 %

Durée

Jusqu’au 31.12.2013

Secteurs économiques

Agriculture

Nom et adresse de l'autorité chargée de l'octroi

Държавен фонд „Земеделие“

Бул. „Цар Борис III“ No 136

1618 София/Sofia

БЪЛГАРИЯ/BULGARIA

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

| Date d'adoption de la décision | 9.7.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | N 133/10 |
| État membre | Italie |
| Région | Provincia autonoma di Bolzano |
| Titre (et/ou nom du bénéficiaire) | Disciplina degli aiuti regionali in materia di foreste |
| Base juridique | Legge Provinciale del 21.10.1996«Ordinamento Forestale» decreto del Presidente della Giunta provinciale 31 luglio 2000, n. 29 Regolamento all'ordinamento forestale 2000; Programma di sviluppo rurale 2007-2013, misure 111, 122, 123 settore Foreste, 125 Settore Foreste, 226, 227 |
| Type de la mesure | Régime d’aide |
| Objectif | Aide à la sylviculture |
| Forme de l'aide | Subvention directe |
| Budget | Montant global maximum: 30 millions EUR |
| Intensité | 100 % des coûts admissibles au maximum |
| Durée | 2010-2013 |
| Secteurs économiques | Sylviculture |
| Nom et adresse de l'autorité chargée de l'octroi | Provincia Autonoma di Bolzano Ripartizione Foreste |
| Ufficio economia montana |
| Via Brennero 6 |
| 39100 Bolzano BZ |
| ITALIA |

Date d'adoption de la décision

9.7.2010

Numéro de référence de l'aide d'État

N 133/10

État membre

Italie

Région

Provincia autonoma di Bolzano

Titre (et/ou nom du bénéficiaire)

Disciplina degli aiuti regionali in materia di foreste

Base juridique

Legge Provinciale del 21.10.1996«Ordinamento Forestale» decreto del Presidente della Giunta provinciale 31 luglio 2000, n. 29 Regolamento all'ordinamento forestale 2000; Programma di sviluppo rurale 2007-2013, misure 111, 122, 123 settore Foreste, 125 Settore Foreste, 226, 227

Type de la mesure

Régime d’aide

Objectif

Aide à la sylviculture

Forme de l'aide

Subvention directe

Budget

Montant global maximum: 30 millions EUR

Intensité

100 % des coûts admissibles au maximum

Durée

2010-2013

Secteurs économiques

Sylviculture

Nom et adresse de l'autorité chargée de l'octroi

Provincia Autonoma di Bolzano Ripartizione Foreste

Ufficio economia montana

Via Brennero 6

39100 Bolzano BZ

ITALIA

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

| Date d'adoption de la décision | 4.6.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | N 148/10 |
| État membre | Italie |
| Région | Provincia autonoma di Trento |
| Titre (et/ou nom du bénéficiaire) | Ricostituzione del potenziale forestale e interventi preventivi |
| Base juridique | Piano di sviluppo rurale della Provincia autonoma di Trento 2007-2013 (Misura 226) |
| Type de la mesure | Régime d’aide |
| Objectif | Aide au secteur forestier |
| Forme de l'aide | Subvention directe |
| Budget | Dépense maximale annuelle: 3,25 millions EUR
  Montant global maximum: 13 millions EUR |
| Intensité | Jusqu'à 100 % des coûts admissibles |
| Durée | 31.12.2013 |
| Secteurs économiques | Secteur forestier |
| Nom et adresse de l'autorité chargée de l'octroi | Provincia autonoma di Trento |
| Piazza Dante 5 |
| 38122 Trento TN |
| ITALIA |

Date d'adoption de la décision

4.6.2010

Numéro de référence de l'aide d'État

N 148/10

État membre

Italie

Région

Provincia autonoma di Trento

Titre (et/ou nom du bénéficiaire)

Ricostituzione del potenziale forestale e interventi preventivi

Base juridique

Piano di sviluppo rurale della Provincia autonoma di Trento 2007-2013 (Misura 226)

Type de la mesure

Régime d’aide

Objectif

Aide au secteur forestier

Forme de l'aide

Subvention directe

Budget

Dépense maximale annuelle: 3,25 millions EUR

Montant global maximum: 13 millions EUR

Intensité

Jusqu'à 100 % des coûts admissibles

Durée

31.12.2013

Secteurs économiques

Secteur forestier

Nom et adresse de l'autorité chargée de l'octroi

Provincia autonoma di Trento

Piazza Dante 5

38122 Trento TN

ITALIA

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

| Date d'adoption de la décision | 17.6.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | N 209/10 |
| État membre | France |
| Région | Départements de Charente-Maritime, Vendée et Gironde |
| Titre (et/ou nom du bénéficiaire) | Aides aux exploitants agricoles victimes des inondations marines causées par la tempête Xynthia du 28 février 2010. |
| Base juridique | — | Articles L 361-1 et s. du code rural (le budget nécessaire aux aides d’État affectées à ce dispositif sera prélevé sur le fonds national de garantie des calamités agricoles). |

Date d'adoption de la décision

17.6.2010

Numéro de référence de l'aide d'État

N 209/10

État membre

France

Région

Départements de Charente-Maritime, Vendée et Gironde

Titre (et/ou nom du bénéficiaire)

Aides aux exploitants agricoles victimes des inondations marines causées par la tempête Xynthia du 28 février 2010.

Base juridique

—

Articles L 361-1 et s. du code rural (le budget nécessaire aux aides d’État affectées à ce dispositif sera prélevé sur le fonds national de garantie des calamités agricoles).

| — | Articles 1511-2 à 1511-6 du code général des collectivités territoriales et L 3231-2 et suivants pour les aides des collectivités territoriales. |
| --- | --- |

—

Articles 1511-2 à 1511-6 du code général des collectivités territoriales et L 3231-2 et suivants pour les aides des collectivités territoriales.

| — | Arrêté interministériel du 1er mars 2010 de reconnaissance de catastrophe naturelle. |
| --- | --- |

—

Arrêté interministériel du 1er mars 2010 de reconnaissance de catastrophe naturelle.

| — | Arrêté interministériel du 11 mars 2010 de reconnaissance de catastrophe naturelle. |
| --- | --- |

—

Arrêté interministériel du 11 mars 2010 de reconnaissance de catastrophe naturelle.

Type de la mesure

Régime d'aide

Objectif

Aide destinée à compenser des dommages en matière de production agricole

Forme de l'aide

Subvention directe

Budget

Max. 43 000 000 EUR

Intensité

Max 60 %

Durée

4 ans

Secteurs économiques

Agriculture

Nom et adresse de l'autorité chargée de l'octroi

| Ministère de l'alimentation, de l'agriculture et de la pêche |
| --- |
| 78 rue de Varenne |
| 75349 Paris 07 SP |
| FRANCE |

Ministère de l'alimentation, de l'agriculture et de la pêche

78 rue de Varenne

75349 Paris 07 SP

FRANCE

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

---

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/26 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/26

---

Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE

Cas à l'égard desquels la Commission ne soulève pas d'objection

(Texte présentant de l'intérêt pour l'EEE, sauf en ce qui concerne les produits relevant de l'annexe I du traité)

2010/C 280/04

| Date d'adoption de la décision | 16.7.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | N 414/09 |
| État membre | France |
| Région | — |
| Titre (et/ou nom du bénéficiaire) | Aides de l'Agence de l'eau Artois-Picardie aux engagements agro-environnementaux dans le bassin Artois Picardie (EAEAP) |
| Base juridique | Loi no 2006-1772 du 30 décembre 2006 sur l’eau et les milieux aquatiques (JORF no 303 du 31 décembre 2006).
  Proposition de dispositif pour des aides agro-environnementales de l'agence de l'eau Artois-Picardie. |
| Type de la mesure | Régime d’aide |
| Objectif | Aides en faveur des mesures agro-environnementales |
| Forme de l'aide | Subvention directe |
| Budget | | Dépenses annuelles: 21,33 millions EUR |

Date d'adoption de la décision

16.7.2010

Numéro de référence de l'aide d'État

N 414/09

État membre

France

Région

—

Titre (et/ou nom du bénéficiaire)

Aides de l'Agence de l'eau Artois-Picardie aux engagements agro-environnementaux dans le bassin Artois Picardie (EAEAP)

Base juridique

Loi no 2006-1772 du 30 décembre 2006 sur l’eau et les milieux aquatiques (JORF no 303 du 31 décembre 2006).

Proposition de dispositif pour des aides agro-environnementales de l'agence de l'eau Artois-Picardie.

Type de la mesure

Régime d’aide

Objectif

Aides en faveur des mesures agro-environnementales

Forme de l'aide

Subvention directe

Budget

Dépenses annuelles: 21,33 millions EUR

| | Montant total: 64 millions EUR |
| --- | --- |

Montant total: 64 millions EUR

Intensité

100 % des coûts admissibles au maximum

Durée

2010-2012

Secteurs économiques

Secteur agricole

Nom et adresse de l'autorité chargée de l'octroi

| Agence de l'eau Artois-Picardie |
| --- |
| 200 rue Marceline BP 818 |
| 59508 Douai |
| FRANCE |

Agence de l'eau Artois-Picardie

200 rue Marceline BP 818

59508 Douai

FRANCE

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

| Date d'adoption de la décision | 3.2.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | N 582/09 |
| État membre | Italie |
| Région | Sardaigne |
| Titre (et/ou nom du bénéficiaire) | Ristrutturazione dell'azienda «Cooperativa viticultori della Planargia» |
| Base juridique | Legge regionale 19 gennaio 1998, n. 4 «Interventi a favore dì aziende agricole in difficoltà»
  Legge regionale 29 maggio 2007, n. 2 «Legge finanziaria 2007» — articolo 21
  Decreto dell'Assessore n. 2532/DecA/105 del 13.10.2009 |
| Type de la mesure | Aide individuelle |
| Objectif | Restructuration d'une entreprise en difficulté |
| Forme de l'aide | Subvention directe |
| Budget | 294 540 EUR |
| Intensité | 75 % |
| Durée | Après l'approbation de l'aide par la Commission |
| Secteurs économiques | Agriculture (vitivinicole) |
| Nom et adresse de l'autorité chargée de l'octroi | Assessorato dell'agricoltura e riforma agro-pastorale |
| Via Pessagno 4 |
| 09126 Cagliari CA |
| ITALIA |

Date d'adoption de la décision

3.2.2010

Numéro de référence de l'aide d'État

N 582/09

État membre

Italie

Région

Sardaigne

Titre (et/ou nom du bénéficiaire)

Ristrutturazione dell'azienda «Cooperativa viticultori della Planargia»

Base juridique

Legge regionale 19 gennaio 1998, n. 4 «Interventi a favore dì aziende agricole in difficoltà»

Legge regionale 29 maggio 2007, n. 2 «Legge finanziaria 2007» — articolo 21

Decreto dell'Assessore n. 2532/DecA/105 del 13.10.2009

Type de la mesure

Aide individuelle

Objectif

Restructuration d'une entreprise en difficulté

Forme de l'aide

Subvention directe

Budget

294 540 EUR

Intensité

75 %

Durée

Après l'approbation de l'aide par la Commission

Secteurs économiques

Agriculture (vitivinicole)

Nom et adresse de l'autorité chargée de l'octroi

Assessorato dell'agricoltura e riforma agro-pastorale

Via Pessagno 4

09126 Cagliari CA

ITALIA

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

| Date d'adoption de la décision | 20.7.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | NN 26/10 |
| État membre | République tchèque |
| Région | — |
| Titre (et/ou nom du bénéficiaire) | Vrácení části spotřební daně na pohonné hmoty spotřebované při zemědělské produkci (změna režimu podpory č. N 678/07) |
| Base juridique | Zákon č. 353/2003 Sb., o spotřebních daních, ve znění pozdějších předpisů
  Vyhláška 48/2008 Sb., o způsobu výpočtu nároku na vrácení spotřební daně zaplacené v cenách některých minerálních olejů spotřebovaných v zemědělské prvovýrobě |
| Type de la mesure | Régime d’aide |
| Objectif | Aide liée aux exonérations fiscales au titre de la directive 2003/96/CE |
| Forme de l'aide | Allégement fiscal |
| Budget | | Montant total: 6 800 Mio CZK (soit environ 272 Mio EUR) |

Date d'adoption de la décision

20.7.2010

Numéro de référence de l'aide d'État

NN 26/10

État membre

République tchèque

Région

—

Titre (et/ou nom du bénéficiaire)

Vrácení části spotřební daně na pohonné hmoty spotřebované při zemědělské produkci (změna režimu podpory č. N 678/07)

Base juridique

Zákon č. 353/2003 Sb., o spotřebních daních, ve znění pozdějších předpisů

Vyhláška 48/2008 Sb., o způsobu výpočtu nároku na vrácení spotřební daně zaplacené v cenách některých minerálních olejů spotřebovaných v zemědělské prvovýrobě

Type de la mesure

Régime d’aide

Objectif

Aide liée aux exonérations fiscales au titre de la directive 2003/96/CE

Forme de l'aide

Allégement fiscal

Budget

Montant total: 6 800 Mio CZK (soit environ 272 Mio EUR)

| | Montant annuel: 1 700 Mio CZK (soit environ 68 Mio EUR) |
| --- | --- |

Montant annuel: 1 700 Mio CZK (soit environ 68 Mio EUR)

Intensité

60 % des dépenses admissibles.

Durée

Jusqu’au 31 décembre 2013

Secteurs économiques

Secteur agricole

Nom et adresse de l'autorité chargée de l'octroi

| Ministerstvo zemědělství |
| --- |
| Těšnov 17 |
| 117 05 Praha 1 |
| ČESKÁ REPUBLIKA |

Ministerstvo zemědělství

Těšnov 17

117 05 Praha 1

ČESKÁ REPUBLIKA

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

| Date d'adoption de la décision | 16.7.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | N 213/10 |
| État membre | Estonie |
| Région | — |
| Titre (et/ou nom du bénéficiaire) | Eesti maaelu arengukava 2007–2013 meede 2.7 „Natura 2000 toetus erametsamaale” |
| Base juridique | Eesti maaelu arengukava 2007–2013, peatükk 5.3.2.2; Põllumajandusministri 11.3.2010. aasta määrus nr 26 „Natura 2000 alal asuva erametsamaa kohta antava toetuse saamise nõuded, toetuse taotlemise ja taotluse menetlemise täpsem kord”; Euroopa Liidu ühise põllumajanduspoliitika rakendamise seadus. |
| Type de la mesure | Aide au secteur forestier |
| Objectif | Sylviculture |
| Forme de l'aide | Subvention directe |
| Budget | Budget total: 326 millions EEK (20,8 millions EUR environ) |
| Intensité | Jusqu'à 100 % des coûts admissibles. |
| Durée | À compter de la date de la décision de la Commission et jusqu’au 31 décembre 2013. |
| Secteurs économiques | Sylviculture |
| Nom et adresse de l'autorité chargée de l'octroi | Põllumajanduse Registrite ja Informatsiooni Amet |
| Narva 3 |
| 51009 Tartu |
| EESTI/ESTONIA |

Date d'adoption de la décision

16.7.2010

Numéro de référence de l'aide d'État

N 213/10

État membre

Estonie

Région

—

Titre (et/ou nom du bénéficiaire)

Eesti maaelu arengukava 2007–2013 meede 2.7 „Natura 2000 toetus erametsamaale”

Base juridique

Eesti maaelu arengukava 2007–2013, peatükk 5.3.2.2; Põllumajandusministri 11.3.2010. aasta määrus nr 26 „Natura 2000 alal asuva erametsamaa kohta antava toetuse saamise nõuded, toetuse taotlemise ja taotluse menetlemise täpsem kord”; Euroopa Liidu ühise põllumajanduspoliitika rakendamise seadus.

Type de la mesure

Aide au secteur forestier

Objectif

Sylviculture

Forme de l'aide

Subvention directe

Budget

Budget total: 326 millions EEK (20,8 millions EUR environ)

Intensité

Jusqu'à 100 % des coûts admissibles.

Durée

À compter de la date de la décision de la Commission et jusqu’au 31 décembre 2013.

Secteurs économiques

Sylviculture

Nom et adresse de l'autorité chargée de l'octroi

Põllumajanduse Registrite ja Informatsiooni Amet

Narva 3

51009 Tartu

EESTI/ESTONIA

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

---

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/29 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/29

---

Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE

Cas à l'égard desquels la Commission ne soulève pas d'objections

(Texte présentant de l'intérêt pour l'EEE, sauf en ce qui concerne les produits relevant de l'annexe I du traité)

2010/C 280/05

| Date d'adoption de la décision | 12.8.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | N 83/10 |
| État membre | Italie |
| Région | Sardegna |
| Titre (et/ou nom du bénéficiaire) | Aiuto alla ristrutturazione a favore dell’Unione Pastori Società Cooperativa Agricola, registrata nella Z.I Taccu — Nurri Cagliari |
| Base juridique | Legge regionale 19 gennaio 1998«Interventi a favore delle aziende agricole in difficoltà»
  Articolo 21 della legge regionale 29 maggio 2007, n. 2
  Decreto regionale n. 343/DecA/7 del 4 febbraio 2010 |
| Type de la mesure | Aide individuelle |
| Objectif | Restructuration d'une entreprise de taille moyenne |
| Forme de l'aide | Subvention directe |
| Budget | 1 million d'euros |
| Intensité | 33,3 % du montant global des coûts de restructuration (3 millions d'euros) |
| Durée | Aide ponctuelle |
| Secteurs économiques | Agriculture |
| Nom et adresse de l'autorité chargée de l'octroi | Regione Autonoma Sardegna |
| Assessorato dell’Agricoltura |
| Via Pessagno 4 |
| 09125 Cagliari CA |
| ITALIA |

Date d'adoption de la décision

12.8.2010

Numéro de référence de l'aide d'État

N 83/10

État membre

Italie

Région

Sardegna

Titre (et/ou nom du bénéficiaire)

Aiuto alla ristrutturazione a favore dell’Unione Pastori Società Cooperativa Agricola, registrata nella Z.I Taccu — Nurri Cagliari

Base juridique

Legge regionale 19 gennaio 1998«Interventi a favore delle aziende agricole in difficoltà»

Articolo 21 della legge regionale 29 maggio 2007, n. 2

Decreto regionale n. 343/DecA/7 del 4 febbraio 2010

Type de la mesure

Aide individuelle

Objectif

Restructuration d'une entreprise de taille moyenne

Forme de l'aide

Subvention directe

Budget

1 million d'euros

Intensité

33,3 % du montant global des coûts de restructuration (3 millions d'euros)

Durée

Aide ponctuelle

Secteurs économiques

Agriculture

Nom et adresse de l'autorité chargée de l'octroi

Regione Autonoma Sardegna

Assessorato dell’Agricoltura

Via Pessagno 4

09125 Cagliari CA

ITALIA

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

---

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/30 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/30

---

Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE

Cas à l'égard desquels la Commission ne soulève pas d'objection

(Texte présentant de l'intérêt pour l'EEE, sauf en ce qui concerne les produits relevant de l'annexe I du traité)

2010/C 280/06

| Date d'adoption de la décision | 7.4.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | N 716/09 |
| État membre | Grèce |
| Région | Περιοχές που επλήγησαν από τις πυρκαγιές του 2009 |
| Titre (et/ou nom du bénéficiaire) | Πρόγραμμα κρατικών οικονομικών ενισχύσεων για την αντιστάθμιση ζημιών από πυρκαγιές έτους 2009 |
| Base juridique | Σχέδιο ΚΥΑ για τη λήψη μέτρων υπέρ των παραγωγών της χώρας των οποίων οι γεωργοκτηνοτροφικές τους εκμεταλλεύσεις ζημιώθηκαν από πυρκαγιές κατά το έτος 2009 |
| Type de la mesure | Indemnisation pour les dommages causés aux moyens de production agricole par un événement de caractère exceptionnel |
| Objectif | Événements de caractère exceptionnel |
| Forme de l'aide | Subvention directe |
| Budget | Budget global de 8 000 000 EUR |
| Intensité | Les producteurs qui ont subi des dommages atteignant le seuil minimal de 30 % seront admissibles au bénéfice de l'aide. L'intensité de l'aide sera fonction de la nature de l'objet endommagé et s'inscrira dans une fourchette allant de 50 à 80 %. |
| Durée | À compter de l’approbation du régime jusqu’au 31 décembre 2013 |
| Secteurs économiques | Agriculture |
| Nom et adresse de l'autorité chargée de l'octroi | α. Υπουργείο Αγροτικής Ανάπτυξης και Τροφίμων |
| Αχαρνών 2 |
| 101 76 Αθήνα/Athens |
| ΕΛΛΑΔΑ/GREECE |

Date d'adoption de la décision

7.4.2010

Numéro de référence de l'aide d'État

N 716/09

État membre

Grèce

Région

Περιοχές που επλήγησαν από τις πυρκαγιές του 2009

Titre (et/ou nom du bénéficiaire)

Πρόγραμμα κρατικών οικονομικών ενισχύσεων για την αντιστάθμιση ζημιών από πυρκαγιές έτους 2009

Base juridique

Σχέδιο ΚΥΑ για τη λήψη μέτρων υπέρ των παραγωγών της χώρας των οποίων οι γεωργοκτηνοτροφικές τους εκμεταλλεύσεις ζημιώθηκαν από πυρκαγιές κατά το έτος 2009

Type de la mesure

Indemnisation pour les dommages causés aux moyens de production agricole par un événement de caractère exceptionnel

Objectif

Événements de caractère exceptionnel

Forme de l'aide

Subvention directe

Budget

Budget global de 8 000 000 EUR

Intensité

Les producteurs qui ont subi des dommages atteignant le seuil minimal de 30 % seront admissibles au bénéfice de l'aide. L'intensité de l'aide sera fonction de la nature de l'objet endommagé et s'inscrira dans une fourchette allant de 50 à 80 %.

Durée

À compter de l’approbation du régime jusqu’au 31 décembre 2013

Secteurs économiques

Agriculture

Nom et adresse de l'autorité chargée de l'octroi

α. Υπουργείο Αγροτικής Ανάπτυξης και Τροφίμων

Αχαρνών 2

101 76 Αθήνα/Athens

ΕΛΛΑΔΑ/GREECE

| β. ΕΛΓΑ |
| --- |
| Μεσογείων 45 |
| 115 10 Αθήνα/Athens |
| ΕΛΛΑΔΑ/GREECE |

β. ΕΛΓΑ

Μεσογείων 45

115 10 Αθήνα/Athens

ΕΛΛΑΔΑ/GREECE

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

---

IV Informations

INFORMATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/31 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/31

---

Taux de change de l'euro (1)

15 octobre 2010

2010/C 280/07

1 euro =

| | Monnaie | Taux de change |
| --- | --- | --- |
| USD | dollar des États-Unis | 1,4089 |
| JPY | yen japonais | 114,28 |
| DKK | couronne danoise | 7,4564 |
| GBP | livre sterling | 0,87750 |
| SEK | couronne suédoise | 9,2230 |
| CHF | franc suisse | 1,3423 |
| ISK | couronne islandaise | |
| NOK | couronne norvégienne | 8,0925 |
| BGN | lev bulgare | 1,9558 |
| CZK | couronne tchèque | 24,515 |
| EEK | couronne estonienne | 15,6466 |
| HUF | forint hongrois | 274,18 |
| LTL | litas lituanien | 3,4528 |
| LVL | lats letton | 0,7097 |
| PLN | zloty polonais | 3,9050 |
| RON | leu roumain | 4,2765 |
| TRY | lire turque | 1,9808 |
| AUD | dollar australien | 1,4142 |
| CAD | dollar canadien | 1,4165 |
| HKD | dollar de Hong Kong | 10,9300 |
| NZD | dollar néo-zélandais | 1,8565 |
| SGD | dollar de Singapour | 1,8244 |
| KRW | won sud-coréen | 1 564,64 |
| ZAR | rand sud-africain | 9,5833 |
| CNY | yuan ren-min-bi chinois | 9,3568 |
| HRK | kuna croate | 7,3355 |
| IDR | rupiah indonésien | 12 530,82 |
| MYR | ringgit malais | 4,3443 |
| PHP | peso philippin | 60,847 |
| RUB | rouble russe | 42,5650 |
| THB | baht thaïlandais | 42,015 |
| BRL | real brésilien | 2,3369 |
| MXN | peso mexicain | 17,4580 |
| INR | roupie indienne | 62,1320 |

Monnaie

Taux de change

USD

dollar des États-Unis

1,4089

JPY

yen japonais

114,28

DKK

couronne danoise

7,4564

GBP

livre sterling

0,87750

SEK

couronne suédoise

9,2230

CHF

franc suisse

1,3423

ISK

couronne islandaise

NOK

couronne norvégienne

8,0925

BGN

lev bulgare

1,9558

CZK

couronne tchèque

24,515

EEK

couronne estonienne

15,6466

HUF

forint hongrois

274,18

LTL

litas lituanien

3,4528

LVL

lats letton

0,7097

PLN

zloty polonais

3,9050

RON

leu roumain

4,2765

TRY

lire turque

1,9808

AUD

dollar australien

1,4142

CAD

dollar canadien

1,4165

HKD

dollar de Hong Kong

10,9300

NZD

dollar néo-zélandais

1,8565

SGD

dollar de Singapour

1,8244

KRW

won sud-coréen

1 564,64

ZAR

rand sud-africain

9,5833

CNY

yuan ren-min-bi chinois

9,3568

HRK

kuna croate

7,3355

IDR

rupiah indonésien

12 530,82

MYR

ringgit malais

4,3443

PHP

peso philippin

60,847

RUB

rouble russe

42,5650

THB

baht thaïlandais

42,015

BRL

real brésilien

2,3369

MXN

peso mexicain

17,4580

INR

roupie indienne

62,1320

---

(1)  Source: taux de change de référence publié par la Banque centrale européenne.

---

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/32 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/32

---

DÉCISION DE LA COMMISSION

du 14 octobre 2010

Réactivation du groupe de haut niveau «CARS 21» sur la compétitivité et la croissance durable de l’industrie automobile dans l’Union européenne

2010/C 280/08

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

considérant ce qui suit:

| (1) | L’article 173 du traité a assigné à l’Union européenne et aux États membres la mission de veiller à ce que les conditions nécessaires à la compétitivité de l’industrie de l’Union soient assurées. L’article 191 du TFUE dispose que la politique de l’Union dans le domaine de l’environnement contribue à la promotion de mesures, à la préservation, la protection et l’amélioration de la qualité de l’environnement et à la lutte contre le changement climatique. |
| --- | --- |

(1)

L’article 173 du traité a assigné à l’Union européenne et aux États membres la mission de veiller à ce que les conditions nécessaires à la compétitivité de l’industrie de l’Union soient assurées. L’article 191 du TFUE dispose que la politique de l’Union dans le domaine de l’environnement contribue à la promotion de mesures, à la préservation, la protection et l’amélioration de la qualité de l’environnement et à la lutte contre le changement climatique.

| (2) | Dans le cadre de la politique industrielle de la Commission, le processus «CARS 21» (un cadre réglementaire concurrentiel pour le secteur automobile au XXIe siècle), lancé en 2005, a abouti à la formulation de recommandations pour la politique à court, moyen et long termes, ainsi que pour le cadre réglementaire de l’industrie automobile européenne afin de renforcer sa compétitivité globale et de développer l’emploi, tout en favorisant les progrès en matière de sécurité et de protection de l’environnement à un prix acceptable pour le consommateur. |
| --- | --- |

(2)

Dans le cadre de la politique industrielle de la Commission, le processus «CARS 21» (un cadre réglementaire concurrentiel pour le secteur automobile au XXIe siècle), lancé en 2005, a abouti à la formulation de recommandations pour la politique à court, moyen et long termes, ainsi que pour le cadre réglementaire de l’industrie automobile européenne afin de renforcer sa compétitivité globale et de développer l’emploi, tout en favorisant les progrès en matière de sécurité et de protection de l’environnement à un prix acceptable pour le consommateur.

| (3) | Dans sa communication «EUROPE 2020 — Une stratégie pour une croissance intelligente, durable et inclusive» (1), la Commission présente des propositions pour moderniser et décarboniser le secteur des transports et promouvoir de nouvelles technologies, dont les voitures électriques. L’initiative phare «Une politique industrielle à l’ère de la mondialisation» a pour objectif de mettre sur pied une politique industrielle favorisant les meilleures conditions pour préserver et développer une base industrielle solide, compétitive et diversifiée en Europe, et soutenant la transition des industries manufacturières vers une utilisation plus efficace de l’énergie et des ressources. L’initiative phare «Une Europe efficace dans l’utilisation des ressources» encouragera les mesures d’infrastructure transversales telles que le déploiement d’infrastructures de réseau de mobilité électrique, la gestion intelligente du trafic et surtout la promotion des nouvelles technologies, et notamment des voitures électriques et hybrides. |
| --- | --- |

(3)

Dans sa communication «EUROPE 2020 — Une stratégie pour une croissance intelligente, durable et inclusive» (1), la Commission présente des propositions pour moderniser et décarboniser le secteur des transports et promouvoir de nouvelles technologies, dont les voitures électriques. L’initiative phare «Une politique industrielle à l’ère de la mondialisation» a pour objectif de mettre sur pied une politique industrielle favorisant les meilleures conditions pour préserver et développer une base industrielle solide, compétitive et diversifiée en Europe, et soutenant la transition des industries manufacturières vers une utilisation plus efficace de l’énergie et des ressources. L’initiative phare «Une Europe efficace dans l’utilisation des ressources» encouragera les mesures d’infrastructure transversales telles que le déploiement d’infrastructures de réseau de mobilité électrique, la gestion intelligente du trafic et surtout la promotion des nouvelles technologies, et notamment des voitures électriques et hybrides.

| (4) | La communication de la Commission «Une stratégie européenne pour des véhicules propres et économes en énergie» (2) définit des objectifs allant du court au long terme afin de soutenir la recherche et l’innovation, de trouver des solutions pour la production et la distribution d’électricité, de stimuler l’emploi et d’encourager l’adoption par les consommateurs des véhicules verts. |
| --- | --- |

(4)

La communication de la Commission «Une stratégie européenne pour des véhicules propres et économes en énergie» (2) définit des objectifs allant du court au long terme afin de soutenir la recherche et l’innovation, de trouver des solutions pour la production et la distribution d’électricité, de stimuler l’emploi et d’encourager l’adoption par les consommateurs des véhicules verts.

| (5) | Il est donc nécessaire de mettre en place un groupe d’experts dans le domaine de la compétitivité et de la croissance durable de l’industrie automobile européenne, en prenant pour base le processus «CARS 21», et de définir ses missions et sa structure. |
| --- | --- |

(5)

Il est donc nécessaire de mettre en place un groupe d’experts dans le domaine de la compétitivité et de la croissance durable de l’industrie automobile européenne, en prenant pour base le processus «CARS 21», et de définir ses missions et sa structure.

| (6) | Le groupe devrait contribuer à l’identification des stratégies et mesures favorisant la compétitivité et la croissance durable de l’industrie automobile européenne, qu’elles soient mises en œuvre au niveau de l’Union européenne, à l’échelle nationale ou par d’autres parties prenantes. |
| --- | --- |

(6)

Le groupe devrait contribuer à l’identification des stratégies et mesures favorisant la compétitivité et la croissance durable de l’industrie automobile européenne, qu’elles soient mises en œuvre au niveau de l’Union européenne, à l’échelle nationale ou par d’autres parties prenantes.

| (7) | Le groupe devrait être constitué de représentants du Parlement européen, de la Commission, des États membres et des parties prenantes de l’industrie et de la société civile, en particulier de représentants des consommateurs, des syndicats et des organisations non gouvernementales. |
| --- | --- |

(7)

Le groupe devrait être constitué de représentants du Parlement européen, de la Commission, des États membres et des parties prenantes de l’industrie et de la société civile, en particulier de représentants des consommateurs, des syndicats et des organisations non gouvernementales.

| (8) | Il est nécessaire de définir des règles relatives à la communication d’informations par les membres du groupe, sans préjudice des règles de sécurité de la Commission énoncées à l’annexe de la décision 2001/844/CE, CECA, Euratom de la Commission du 29 novembre 2001 modifiant son règlement intérieur (3). |
| --- | --- |

(8)

Il est nécessaire de définir des règles relatives à la communication d’informations par les membres du groupe, sans préjudice des règles de sécurité de la Commission énoncées à l’annexe de la décision 2001/844/CE, CECA, Euratom de la Commission du 29 novembre 2001 modifiant son règlement intérieur (3).

| (9) | Il convient que les données à caractère personnel soient traitées conformément au règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (4). |
| --- | --- |

(9)

Il convient que les données à caractère personnel soient traitées conformément au règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (4).

| (10) | Il y a lieu de fixer une durée pour l’application de la présente décision. La Commission examinera en temps utile l’opportunité d’une prorogation, |
| --- | --- |

(10)

Il y a lieu de fixer une durée pour l’application de la présente décision. La Commission examinera en temps utile l’opportunité d’une prorogation,

DÉCIDE:

Article premier

Groupe

Le groupe de haut niveau sur la compétitivité et la croissance durable de l’industrie automobile dans l’Union européenne, ci-après dénommé «le groupe» et ayant précédemment fonctionné sur une base informelle sous le titre «Competitive Automotive Regulatory System for the 21st century», est reformé.

Article 2

Missions

Le groupe a pour mission:

| 1) | d’assister la Commission pour les questions liées à la compétitivité et à la croissance durable de l’industrie automobile; |
| --- | --- |

1)

d’assister la Commission pour les questions liées à la compétitivité et à la croissance durable de l’industrie automobile;

| 2) | de réaliser une analyse économique et statistique des facteurs ayant un effet déterminant sur les mutations structurelles dans l’industrie automobile et des autres facteurs influençant la position concurrentielle de l’industrie automobile dans l’Union européenne; |
| --- | --- |

2)

de réaliser une analyse économique et statistique des facteurs ayant un effet déterminant sur les mutations structurelles dans l’industrie automobile et des autres facteurs influençant la position concurrentielle de l’industrie automobile dans l’Union européenne;

| 3) | d’assister la Commission dans la mise en œuvre de la politique définie dans la stratégie EUROPE 2020, de son initiative phare «Une Europe efficace dans l’utilisation des ressources», de son initiative phare «Une politique industrielle à l’ère de la mondialisation» et de la communication «Une stratégie européenne pour des véhicules propres et économes en énergie» [COM(2010) 186] afin de permettre le maintien d’une industrie automobile compétitive et durable dans l’Union européenne; |
| --- | --- |

3)

d’assister la Commission dans la mise en œuvre de la politique définie dans la stratégie EUROPE 2020, de son initiative phare «Une Europe efficace dans l’utilisation des ressources», de son initiative phare «Une politique industrielle à l’ère de la mondialisation» et de la communication «Une stratégie européenne pour des véhicules propres et économes en énergie» [COM(2010) 186] afin de permettre le maintien d’une industrie automobile compétitive et durable dans l’Union européenne;

| 4) | de contribuer à une transition économique et sociale équilibrée et sans rupture, grâce à une anticipation et à une gestion proactive des processus de restructuration, des besoins en compétences et des besoins de qualification correspondants, en prenant en considération les résultats du «partenariat européen pour l’anticipation du changement dans le secteur automobile»; |
| --- | --- |

4)

de contribuer à une transition économique et sociale équilibrée et sans rupture, grâce à une anticipation et à une gestion proactive des processus de restructuration, des besoins en compétences et des besoins de qualification correspondants, en prenant en considération les résultats du «partenariat européen pour l’anticipation du changement dans le secteur automobile»;

| 5) | de formuler une série de recommandations sectorielles à l’intention des décideurs politiques, au niveau de l’Union européenne et au niveau national, ainsi que de l’industrie et des organisations de la société civile; |
| --- | --- |

5)

de formuler une série de recommandations sectorielles à l’intention des décideurs politiques, au niveau de l’Union européenne et au niveau national, ainsi que de l’industrie et des organisations de la société civile;

| 6) | d’élaborer des principes de bonne conduite pour promouvoir la transparence dans les relations commerciales et contractuelles entre les parties à des accords verticaux dans le secteur des véhicules à moteur; |
| --- | --- |

6)

d’élaborer des principes de bonne conduite pour promouvoir la transparence dans les relations commerciales et contractuelles entre les parties à des accords verticaux dans le secteur des véhicules à moteur;

| 7) | de dispenser des conseils sur des aspects spécifiques liés à la mise en œuvre de la stratégie 2020 de la Commission pour une croissance intelligente, durable et inclusive. |
| --- | --- |

7)

de dispenser des conseils sur des aspects spécifiques liés à la mise en œuvre de la stratégie 2020 de la Commission pour une croissance intelligente, durable et inclusive.

Article 3

Composition — Désignation

1.   Le groupe comprend au plus 40 membres.

2.   Ces membres sont désignés à titre personnel. Chaque membre du groupe nomme un représentant personnel à un sous-groupe préparatoire permanent, ci-après dénommé «le sous-groupe préparatoire».

3.   La Commission nomme les membres du groupe parmi des parties prenantes de haut niveau, choisies pour leurs compétences et leurs responsabilités dans des domaines liés à la compétitivité et à la croissance durable de l’industrie automobile européenne. La composition assure une représentation équilibrée des diverses parties prenantes. Le groupe est constitué de représentants du Parlement européen, de la Commission, des États membres, des acteurs de la chaîne de valeur de l’industrie, des syndicats et de la société civile (organisations non gouvernementales et consommateurs).

4.   Les membres sont désignés pour deux ans. Ils restent en fonction jusqu’à leur remplacement ou jusqu’à la fin de leur mandat. Leur mandat peut être renouvelé.

5.   Les membres qui ne sont plus en mesure de contribuer efficacement aux travaux du groupe, qui présentent leur démission ou qui ne satisfont pas aux conditions énoncées à l’article 339 du traité peuvent être remplacés pour la durée restante de leur mandat.

6.   Les noms des personnes désignées à titre personnel sont publiés dans le registre des groupes d’experts et autres entités similaires de la Commission (ci-après dénommé «le registre»).

7.   Les données à caractère personnel sont collectées, traitées et publiées conformément au règlement (CE) no 45/2001.

Article 4

Fonctionnement

1.   Le groupe est présidé par un représentant de la Commission.

2.   Le sous-groupe préparatoire prépare les discussions, les notes de position et les avis en vue d’actions et de mesures qui devront être recommandées par le groupe. À cette fin, il travaille en contact étroit avec les services compétents de la Commission.

3.   En plus du sous-groupe préparatoire, le groupe peut, en accord avec les services de la Commission et sur la base d’un mandat qu’il définit, créer des groupes de travail chargés d’examiner des questions spécifiques relatives aux missions du groupe. Ces groupes de travail sont dissous aussitôt ce mandat rempli.

4.   Le représentant de la Commission peut inviter ponctuellement des experts ou des observateurs extérieurs au groupe, qui possèdent des compétences spécifiques en ce qui concerne l’un des points de l’ordre du jour, à participer aux travaux du sous-groupe ou des groupes de travail. En outre, le représentant de la Commission peut accorder le statut d’observateur à des personnes, des organisations au sens des règles horizontales applicables aux groupes d’experts (règle no 8, paragraphe 3), des agences de l’UE et des pays candidats à l’adhésion.

5.   Les membres des groupes d’experts et leurs représentants, ainsi que les experts et observateurs invités, respectent les obligations de secret professionnel prévues par les traités et leurs réglementations d’application, ainsi que les règles de la Commission sur la sécurité concernant la protection des informations classifiées de l’Union européenne, définies dans l’annexe de la décision 2001/844/CE, CECA, Euratom, de la Commission. En cas de manquement à ces obligations, la Commission peut prendre toutes les mesures appropriées.

6.   Les informations obtenues dans le cadre de la participation aux travaux du groupe, des sous-groupes ou des groupes ad hoc ne doivent pas être divulguées lorsque la Commission estime qu’elles portent sur des questions confidentielles.

7.   Les réunions du groupe, du sous-groupe préparatoire et des groupes de travail se tiennent dans les locaux de la Commission. Le secrétariat est assuré par les services de la Commission. Les autres fonctionnaires de la Commission intéressés par les travaux du groupe, du sous-groupe préparatoire et des groupes de travail peuvent assister aux réunions de ceux-ci.

8.   Le groupe adopte son règlement intérieur sur la base du règlement intérieur type adopté par la Commission (5).

9.   La Commission publie les informations pertinentes concernant les activités menées par le groupe soit dans le registre, soit au moyen d’un lien, indiqué dans ledit registre, vers le site internet correspondant. Le rapport final est publié aussitôt que possible après la dernière réunion du groupe.

Article 5

Frais de réunion

1.   La participation aux activités du groupe ne donne lieu à aucune rémunération.

2.   Les frais de voyage et de séjour supportés par les participants aux activités du groupe sont remboursés par la Commission conformément aux dispositions en vigueur en son sein.

3.   Ces frais sont remboursés dans les limites des crédits disponibles alloués dans le cadre de la procédure annuelle d’allocation de ressources.

Article 6

Applicabilité

La présente décision s’applique jusqu’au 14 octobre 2012.

Fait à Bruxelles, le 14 octobre 2010.

Par la Commission

Antonio TAJANI

Vice-président

---

(1)  COM(2010) 2020.

1

(2)  COM(2010) 186.

2

(3)  JO L 317 du 3.12.2001, p. 1.

3

(4)  JO L 8 du 12.1.2001, p. 1.

4

(5)  JO L 55/61 du 5.3.2010, p. 61.

5

---

V Avis

PROCÉDURES RELATIVES À LA MISE EN ŒUVRE DE LA POLITIQUE DE CONCURRENCE

Commission européenne

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/35 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/35

---

Notification préalable d'une concentration

(Affaire COMP/M.5927 — BASF/Cognis)

(Texte présentant de l'intérêt pour l'EEE)

2010/C 280/09

| 1. | Le 8 octobre 2010, la Commission a reçu notification, conformément à l’article 4 du règlement (CE) no 139/2004 du Conseil (1), d’un projet de concentration par lequel l'entreprise BASF SE («BASF», Allemagne) acquiert, au sens de l'article 3, paragraphe 1, point b), du règlement CE sur les concentrations, le contrôle exclusif de Cognis GmbH («Cognis», Allemagne) par achat d'actions. |
| --- | --- |

1.

Le 8 octobre 2010, la Commission a reçu notification, conformément à l’article 4 du règlement (CE) no 139/2004 du Conseil (1), d’un projet de concentration par lequel l'entreprise BASF SE («BASF», Allemagne) acquiert, au sens de l'article 3, paragraphe 1, point b), du règlement CE sur les concentrations, le contrôle exclusif de Cognis GmbH («Cognis», Allemagne) par achat d'actions.

| 2. | Les activités des entreprises considérées sont les suivantes:






  — | BASF: produits chimiques, matières plastiques, produits de haute performance, solutions agricoles et fonctionnelles, pétrole et gaz, |
| --- | --- | --- |

2.

Les activités des entreprises considérées sont les suivantes:

—

BASF: produits chimiques, matières plastiques, produits de haute performance, solutions agricoles et fonctionnelles, pétrole et gaz,

| — | Cognis: produits chimiques de spécialité et additifs pour l'industrie alimentaire. |
| --- | --- |

—

Cognis: produits chimiques de spécialité et additifs pour l'industrie alimentaire.

| 3. | Après examen préliminaire et sans préjudice de sa décision définitive sur ce point, la Commission estime que l'opération notifiée pourrait entrer dans le champ d'application du règlement CE sur les concentrations. |
| --- | --- |

3.

Après examen préliminaire et sans préjudice de sa décision définitive sur ce point, la Commission estime que l'opération notifiée pourrait entrer dans le champ d'application du règlement CE sur les concentrations.

| 4. | La Commission invite les tiers intéressés à lui présenter leurs observations éventuelles sur ce projet de concentration.
  Ces observations devront lui parvenir au plus tard dans un délai de dix jours à compter de la date de la présente publication. Elles peuvent être envoyées par télécopie (+32 22964301), par courrier électronique à l’adresse COMP-MERGER-REGISTRY@ec.europa.eu ou par courrier, sous la référence COMP/M.5927 — BASF/Cognis, à l'adresse suivante:





  Commission européenne |
| --- | --- |
| Direction générale de la concurrence |
| Greffe des concentrations |
| J-70 |
| 1049 Bruxelles |
| BELGIQUE |

4.

La Commission invite les tiers intéressés à lui présenter leurs observations éventuelles sur ce projet de concentration.

Ces observations devront lui parvenir au plus tard dans un délai de dix jours à compter de la date de la présente publication. Elles peuvent être envoyées par télécopie (+32 22964301), par courrier électronique à l’adresse COMP-MERGER-REGISTRY@ec.europa.eu ou par courrier, sous la référence COMP/M.5927 — BASF/Cognis, à l'adresse suivante:

Commission européenne

Direction générale de la concurrence

Greffe des concentrations

J-70

1049 Bruxelles

BELGIQUE

---

(1)  JO L 24 du 29.1.2004, p. 1 (le «règlement CE sur les concentrations»).

---

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/36 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/36

---

Notification préalable d'une concentration

(Affaire COMP/M.5982 — CVCII/Advance Properties/Huvepharma)

Cas susceptible d'être traité selon la procédure simplifiée

(Texte présentant de l'intérêt pour l'EEE)

2010/C 280/10

| 1. | Le 8 octobre 2010, la Commission a reçu notification, conformément à l’article 4 et à la suite d’un renvoi en application de l’article 4, paragraphe 5, du règlement (CE) no 139/2004 du Conseil (1), d'un projet de concentration par lequel l'entreprise Citigroup Venture Capital International Investment G.P. Limited («CVCII», Jersey), contrôlée par Citigroup, Inc. (États-Unis), et l'entreprise Advance Properties OOD («Advance Properties», Bulgarie) acquièrent, au sens de l'article 3, paragraphe 1, point b), du règlement CE sur les concentrations, le contrôle en commun d'Huvepharma AD («Huvepharma», Bulgarie), actuellement sous le contrôle exclusif d'Advance Properties, par achat d'actions. |
| --- | --- |

1.

Le 8 octobre 2010, la Commission a reçu notification, conformément à l’article 4 et à la suite d’un renvoi en application de l’article 4, paragraphe 5, du règlement (CE) no 139/2004 du Conseil (1), d'un projet de concentration par lequel l'entreprise Citigroup Venture Capital International Investment G.P. Limited («CVCII», Jersey), contrôlée par Citigroup, Inc. (États-Unis), et l'entreprise Advance Properties OOD («Advance Properties», Bulgarie) acquièrent, au sens de l'article 3, paragraphe 1, point b), du règlement CE sur les concentrations, le contrôle en commun d'Huvepharma AD («Huvepharma», Bulgarie), actuellement sous le contrôle exclusif d'Advance Properties, par achat d'actions.

| 2. | Les activités des entreprises considérées sont les suivantes:






  — | Citigroup: fourniture de services financiers, notamment de services bancaires, de services de courtage et de services de gestion de fonds de placement privés, |
| --- | --- | --- |

2.

Les activités des entreprises considérées sont les suivantes:

—

Citigroup: fourniture de services financiers, notamment de services bancaires, de services de courtage et de services de gestion de fonds de placement privés,

| — | Advance Properties: investissements dans le secteur pharmaceutique, dans l'immobilier ainsi que dans les secteurs de l'énergie et du transport maritime, |
| --- | --- |

—

Advance Properties: investissements dans le secteur pharmaceutique, dans l'immobilier ainsi que dans les secteurs de l'énergie et du transport maritime,

| — | Huvepharma: société pharmaceutique concentrant ses activités sur les produits de santé et de nutrition animale. |
| --- | --- |

—

Huvepharma: société pharmaceutique concentrant ses activités sur les produits de santé et de nutrition animale.

| 3. | Après examen préliminaire et sans préjudice de sa décision définitive sur ce point, la Commission estime que l'opération notifiée pourrait entrer dans le champ d'application du règlement CE sur les concentrations. Conformément à la communication de la Commission relative à une procédure simplifiée de traitement de certaines opérations de concentration en application du règlement CE sur les concentrations (2), il convient de noter que ce cas est susceptible d'être traité selon la procédure définie par ladite communication. |
| --- | --- |

3.

Après examen préliminaire et sans préjudice de sa décision définitive sur ce point, la Commission estime que l'opération notifiée pourrait entrer dans le champ d'application du règlement CE sur les concentrations. Conformément à la communication de la Commission relative à une procédure simplifiée de traitement de certaines opérations de concentration en application du règlement CE sur les concentrations (2), il convient de noter que ce cas est susceptible d'être traité selon la procédure définie par ladite communication.

| 4. | La Commission invite les tiers intéressés à lui présenter leurs observations éventuelles sur le projet de concentration.
  Ces observations devront lui parvenir au plus tard dans un délai de dix jours à compter de la date de la présente publication. Elles peuvent être envoyées par télécopie (+32 22964301), par courrier électronique à l’adresse COMP-MERGER-REGISTRY@ec.europa.eu ou par courrier postal, sous la référence COMP/M.5982 — CVCII/Advance Properties/Huvepharma, à l'adresse suivante:





  Commission européenne |
| --- | --- |
| Direction générale de la concurrence |
| Greffe des concentrations |
| J-70 |
| 1049 Bruxelles |
| BELGIQUE |

4.

La Commission invite les tiers intéressés à lui présenter leurs observations éventuelles sur le projet de concentration.

Ces observations devront lui parvenir au plus tard dans un délai de dix jours à compter de la date de la présente publication. Elles peuvent être envoyées par télécopie (+32 22964301), par courrier électronique à l’adresse COMP-MERGER-REGISTRY@ec.europa.eu ou par courrier postal, sous la référence COMP/M.5982 — CVCII/Advance Properties/Huvepharma, à l'adresse suivante:

Commission européenne

Direction générale de la concurrence

Greffe des concentrations

J-70

1049 Bruxelles

BELGIQUE

---

(1)  JO L 24 du 29.1.2004, p. 1 (le «règlement CE sur les concentrations»).

(2)  JO C 56 du 5.3.2005, p. 32 (la «communication sur une procédure simplifiée»).

---

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/37 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/37

---

Communication du ministre des affaires économiques du Royaume des Pays-Bas au titre de l'article 3, paragraphe 2, de la directive 94/22/CE du Parlement européen et du Conseil sur les conditions d'octroi et d'exercice des autorisations de prospecter, d'exploiter et d'extraire des hydrocarbures

2010/C 280/11

Le ministre des affaires économiques annonce avoir reçu une demande d'autorisation pour la prospection d'hydrocarbures dans une partie du secteur libellé P18 sur la carte jointe en annexe 3 du règlement sur l'exploitation minière (Mjinbouwregeling, Stcrt. 2002, no 245), ci-après dénommée «sous-secteur P18b».

Conformément à la directive 94/22/CE précitée et à l'article 15 de la loi sur l'exploitation minière (Mijnbouwwet, Stb. 2002, no 542), le ministre des affaires économiques invite les parties intéressées à présenter une demande d'autorisation concurrente pour la prospection d'hydrocarbures dans le sous-secteur P18b du plateau continental néerlandais.

Le sous-secteur P18b est délimité par les arcs de parallèles reliant les paires de points A-B et H-I, par les arcs de méridiens reliant les paires de points B-C, G-H et A-I, par les arcs de grands cercles reliant les points C-D et E-F, par l'arc de cercle 1 passant par les points D et E, et par l'arc de cercle 2 passant par les points F et G.

Les coordonnées de ces points sont les suivantes:

| Point | ° | ′ | ′′ E | ° | ′ | ′′ N |
| --- | --- | --- | --- | --- | --- | --- |
| A | 3 | 40 | 0,000 | 52 | 10 | 0,000 |
| B | 3 | 47 | 0,000 | 52 | 10 | 0,000 |
| C | 3 | 47 | 0,000 | 52 | 4 | 21,072 |
| D | 3 | 47 | 16,385 | 52 | 4 | 16,801 |
| E | 3 | 51 | 32,620 | 52 | 6 | 15,485 |
| F | 3 | 51 | 40,829 | 52 | 6 | 37,449 |
| G | 4 | 0 | 0,000 | 52 | 4 | 48,172 |
| H | 4 | 0 | 0,000 | 52 | 0 | 0,000 |
| I | 3 | 40 | 0,000 | 52 | 0 | 0,000 |

Point

°

′

′′ E

°

′

′′ N

A

3

40

0,000

52

10

0,000

B

3

47

0,000

52

10

0,000

C

3

47

0,000

52

4

21,072

D

3

47

16,385

52

4

16,801

E

3

51

32,620

52

6

15,485

F

3

51

40,829

52

6

37,449

G

4

0

0,000

52

4

48,172

H

4

0

0,000

52

0

0,000

I

3

40

0,000

52

0

0,000

Les coordonnées du centre de l'arc de cercle 1 sont les suivantes: 3° 54′ 0,000′′ E., 52° 1′ 30,000′′ N; l'arc de cercle 1 possède un rayon de 5 milles marins.

Les coordonnées du centre de l'arc de cercle 2 sont les suivantes: 3° 53′ 34,000′′ E, 52° 1′ 46,000′′ N; l'arc de cercle 2 possède un rayon de 5 milles marins.

La position de ces points est exprimée sous la forme de coordonnées géographiques établies conformément aux spécifications du système européen de référence terrestre.

La superficie du sous-secteur P18b est de 313,2 km2.

Le ministre des affaires économiques est l’autorité compétente pour l’octroi de l’autorisation. Les critères, conditions et exigences visés à l’article 5, paragraphes 1 et 2, et à l'article 6, paragraphe 2, de la directive précitée sont mis en œuvre dans la loi sur l'exploitation minière (Mijnbouwwet, Stb. 2002, no 542).

Les demandes peuvent être présentées dans un délai de treize semaines à compter de la publication de la présente invitation au Journal officiel de l'Union européenne et doivent être adressées à:

| De Minister van Economische Zaken |
| --- |
| ter attentie van J. C. De Groot, directeur Energiemarkt |
| ALP/562 |
| Bezuidenhoutseweg 30 |
| Postbus 20101 |
| 2500 EJ Den Haag |
| NEDERLAND |

De Minister van Economische Zaken

ter attentie van J. C. De Groot, directeur Energiemarkt

ALP/562

Bezuidenhoutseweg 30

Postbus 20101

2500 EJ Den Haag

NEDERLAND

Les demandes présentées après ce délai ne seront pas prises en considération.

La décision concernant les demandes sera prise douze mois au plus tard après l'expiration de ce délai.

De plus amples informations peuvent être obtenues par téléphone auprès de M. E. J. Hoppel, au numéro suivant: +31 703797088.

---

Rectificatifs

| 16.10.2010 | FR | Journal officiel de l'Union européenne | C 280/39 |
| --- | --- | --- | --- |

16.10.2010

FR

Journal officiel de l'Union européenne

C 280/39

---

Rectificatif à la publication de la demande de reconnaissance d’une mention traditionnelle conformément à l’article 33 du règlement (CE) no 607/2009 de la Commission

(
  «Journal officiel de l'Union européenne» C 275 du 12 octobre 2010
  )

2010/C 280/12

Pages 11, 13 et 15, la phrase «Autorité compétente de l'État membre» doit être supprimée.

---