FR Journal officiel de l'Union européenne C 378/16

Résumé de l’avis du Contrôleur européen de la protection des données sur le réexamen de la directive «vie privée et communications électroniques» (directive 2002/58/CE)

[Le texte complet de l’avis en allemand, en anglais et en français est disponible sur le site internet du CEPD www.edps.europa.eu]

(2016/C 378/09)

SYNTHÈSE

Le présent avis (ci-après «l’avis») expose, à la demande de la Commission européenne (ci-après la «Commission»), la position du Contrôleur européen de la protection des données (ci-après le «CEPD») sur les questions clés liées au réexamen de la directive 2002/58/CE (ci-après la «directive “vie privée et communications électroniques”»).

Nous avons besoin d’un nouveau cadre juridique pour la vie privée et les communications électroniques, mais ce cadre doit être plus intelligent, plus clair et plus solide: une plus grande clarté, mais aussi une meilleure application des règles sont nécessaires. Nous en avons besoin pour garantir la confidentialité de nos communications, un droit fondamental inscrit à l’article 7 de la charte des droits fondamentaux de l’Union européenne. En outre, nous avons besoin de dispositions pour compléter et, le cas échéant, préciser les protections offertes par le règlement général sur la protection des données (ci-après le «RGPD»). Par ailleurs, nous devons également maintenir le niveau élevé de protection dont nous disposons actuellement, lorsque la directive «vie privée et communications électroniques» prévoit des garanties plus spécifiques que le RGPD. Les définitions du RGPD, son champ d’application territorial, les mécanismes de coopération entre les autorités chargées de son application et les mécanismes de cohérence, ainsi que la possibilité de prévoir une certaine flexibilité et des orientations devraient être retenus dans le domaine de la vie privée et des communications électroniques.

Le champ d’application du nouveau cadre juridique doit être élargi. Il s’agit de tenir compte des évolutions technologiques et sociétales et de garantir que les personnes physiques bénéficient du même niveau de protection pour l’ensemble des services équivalents sur le plan fonctionnel, qu’ils soient fournis, par exemple, par des compagnies de téléphone traditionnelles, des services de voix sur IP ou des applications de messagerie sur téléphone mobile. Il est en effet nécessaire d’aller encore plus loin et de protéger non seulement les services «équivalents sur le plan fonctionnel», mais aussi les services qui offrent de nouvelles possibilités de communication. Les nouvelles règles devraient également continuer à s’appliquer sans ambiguïté aux communications de machine à machine dans le contexte de l’internet des objets, quel que soit le type de réseau ou de service de communications utilisé. Elles devraient aussi garantir que la confidentialité des communications des utilisateurs sera protégée sur tous les réseaux accessibles au public, notamment les services de Wifi dans les hôtels, les cafés, les magasins, les aéroports et les réseaux offerts par les hôpitaux aux patients et par les universités aux étudiants, ainsi que les endroits névralgiques créés par les administrations publiques.

Le consentement devrait être véritable: les utilisateurs doivent disposer d’une liberté de choix, comme l’exige le RGPD. Il ne devrait plus y avoir d’«accès subordonné à l’acceptation de témoins de connexion (cookies)». Hormis une série d’exceptions bien définies (comme l’analytique d’origine), aucune communication ne devrait faire l’objet d’un traçage et d’une surveillance sans consentement librement donné, que ce soit à l’aide de témoins de connexion, d’une capture d’empreintes numériques ou d’autres moyens technologiques. Les utilisateurs doivent également avoir accès à des mécanismes efficaces et faciles à utiliser pour donner et retirer leur consentement dans le navigateur (ou un autre logiciel ou le système d’exploitation).

Afin de mieux protéger la confidentialité des communications électroniques, l’exigence actuelle de consentement pour les données relatives au trafic et les données de localisation doit elle aussi être maintenue et renforcée. La portée de cette disposition devrait être élargie afin de couvrir toute personne et pas uniquement les compagnies de téléphone traditionnelles et les fournisseurs d’accès à l’internet.

Les nouvelles règles devraient également autoriser clairement les utilisateurs à recourir au chiffrement de bout en bout (sans «porte dérobée») pour protéger leurs communications électroniques. Le déchiffrement, l’ingénierie inverse ou la surveillance de communications protégées par le chiffrement devraient être interdits.

Enfin, les nouvelles règles en matière de vie privée et de communications électroniques devraient offrir une protection contre les communications non sollicitées. Il convient de les actualiser et de les renforcer en exigeant le consentement préalable des destinataires pour tous les types de communications électroniques non sollicitées, quels que soient les moyens empruntés.

I. INTRODUCTION ET CONTEXTE

L’avis fait suite à la demande adressée par la Commission au CEPD, en tant qu’autorité de contrôle indépendante et organe consultatif, afin d’obtenir son avis sur le réexamen de la directive «vie privée et communications électroniques» (1).

La consultation du CEPD a eu lieu parallèlement à la consultation publique organisée par la Commission, qui s’est close le 5 juillet 2016 (2). La Commission a également sollicité l’avis du groupe de travail «Article 29» sur la protection des données (GT29), auquel le CEPD a contribué en tant que membre à part entière (3).

Le présent avis contient la position préliminaire du CEPD sur le réexamen de la directive «vie privée et communications électroniques», qui porte plus particulièrement sur les questions pour lesquelles son avis a été expressément demandé par la Commission. L’avis constitue aussi la contribution du CEPD à la consultation publique et, en tant que tel, il peut également aborder des questions qui n’ont pas été explicitement soulevées par la Commission dans sa demande d’avis. Le CEPD est également susceptible de donner son avis aux stades ultérieurs de la procédure législative.

Le réexamen de la directive «vie privée et communications électroniques» est l’une des initiatives clés de la stratégie pour un marché unique numérique (4), qui vise à renforcer la confiance dans les services numériques et leur sécurité dans l’Union européenne en veillant tout particulièrement à garantir un niveau élevé de protection aux citoyens et des conditions de concurrence équitables pour l’ensemble des opérateurs du marché dans toute l’Union.

Le réexamen a pour but de moderniser et d’actualiser la directive «vie privée et communications électroniques» dans le cadre d’une stratégie plus large visant à établir un cadre juridique cohérent et harmonisé pour la protection des données en Europe. La directive «vie privée et communications électroniques» précise et complète la directive 95/46/CE du Parlement européen et du Conseil (5), qui sera remplacée par le RGPD (6), récemment adopté. La directive «vie privée et communications électroniques» énonce des règles spécifiques, essentiellement dans le but de garantir la confidentialité et la sécurité des communications électroniques. Elle protège aussi les intérêts légitimes des abonnés qui sont des personnes morales.

XI. CONCLUSIONS

L’importance de la confidentialité des communications consacrée à l’article 7 de la charte ne cesse d’augmenter compte tenu du rôle accru que les communications électroniques jouent dans notre société et notre économie. Les garanties exposées dans le présent avis joueront un rôle déterminant dans la réalisation des objectifs stratégiques à long terme que la Commission a décrits dans les grandes lignes dans sa stratégie pour un marché unique numérique.

Fait à Bruxelles, le 22 juillet 2016. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) Référence Ares(2016)2310042 du 18 mai 2016.

(2) Voir https://ec.europa.eu/digital-single-market/en/news/public-consultation-evaluation-and-review-eprivacy-directive. Le questionnaire est disponible à l’adresse suivante: https://ec.europa.eu/eusurvey/runner/EPRIVACYReview2016.

(3) Avis 3/2016 du GT29 sur l’évaluation et le réexamen de la directive «vie privée et communications électroniques» (2002/58/CE) (GT240) adopté le 19 juillet 2016.

(4) Communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions — Stratégie pour un marché unique numérique en Europe [COM(2015) 192 final] du 6 mai 2015, disponible à l’adresse suivante: http://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:52015DC0192&from=FR.

(5) Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281 du 23.11.1995, p. 31).

(6) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).