Résumé de l’avis du Contrôleur européen de la protection des données sur le paquet législatif «Une nouvelle donne pour les consommateurs»

[Le texte complet de l’avis en anglais, français et allemand est disponible sur le site internet du CEPD www.edps.europa.eu]

(2018/C 432/04)

Le présent avis expose la position du CEPD sur le paquet législatif intitulé «Une nouvelle donne pour les consommateurs», qui se compose d’une proposition de directive concernant une meilleure application et une modernisation des règles de protection des consommateurs de l’Union européenne et d’une proposition de directive relative aux actions représentatives dans le domaine de la protection des intérêts collectifs des consommateurs.

Le CEPD se félicite de l’intention de la Commission de moderniser les règles existantes dans un domaine dont les objectifs sont étroitement harmonisés avec ceux du cadre pour la protection des données, récemment modernisé. Il reconnaît la nécessité de combler les lacunes de l’acquis actuel en matière de protection des consommateurs pour relever le défi posé par les modèles d’entreprise dominants utilisés pour les services numériques, qui s’appuient sur la collecte massive et la monétisation de données à caractère personnel ainsi que sur la manipulation de l’attention des citoyens par l’intermédiaire de contenus ciblés. Il s’agit d’une occasion unique d’améliorer le droit en matière de protection des consommateurs pour corriger l’injustice et le déséquilibre croissants entre les personnes et les entreprises puissantes sur les marchés numériques.

Le CEPD soutient, notamment, l’objectif consistant à élargir le champ d’application de la directive 2011/83/UE du Parlement européen et du Conseil (1) pour permettre aux consommateurs qui reçoivent des services sans payer de somme d’argent de bénéficier du cadre de protection offert par ladite directive, afin de refléter la réalité et les besoins économiques actuels.

Dans sa proposition, la Commission a pris en considération les recommandations formulées par le CEPD dans son avis 4/2017 et s’abstient d’utiliser le terme «contrepartie» ou d’opérer une distinction entre les données apportées de façon «active» ou «passive» par les consommateurs aux fournisseurs de contenu numérique. Cependant, le CEPD constate avec inquiétude que les nouvelles définitions envisagées dans la proposition introduiraient la notion de contrats de fourniture de contenu numérique ou de service numérique, pour lesquels le consommateur peut «payer» avec ses données à caractère personnel au lieu de payer une somme d’argent. Cette nouvelle approche ne résout pas les problèmes découlant de l’utilisation du terme «contrepartie» ou de l’établissement d’une analogie entre la fourniture de données à caractère personnel et le paiement d’un prix. Elle ne tient, notamment, pas suffisamment compte de la nature fondamentale du droit à la protection des données, en considérant les données à caractère personnel comme un simple bien économique.

Le RGPD a déjà défini un équilibre concernant les circonstances dans lesquelles le traitement de données à caractère personnel peut avoir lieu dans l’environnement numérique. Il conviendrait que la proposition évite de promouvoir des approches susceptibles d’être interprétées d’une manière incompatible avec l’engagement pris par l’Union européenne de protéger pleinement les données à caractère personnel, comme le prévoit le RGPD. Pour garantir un niveau élevé de protection des consommateurs sans risquer de porter atteinte aux principes du droit applicable en matière de protection des données, une autre approche pourrait être envisagée, fondée par exemple sur la définition large de la notion de «service» contenue dans la directive sur le commerce électronique, la disposition définissant le champ d’application territorial du RGPD ou l’article 3, paragraphe 1, de l’orientation générale du Conseil concernant la proposition relative au contenu numérique.

Par conséquent, le CEPD recommande de s’abstenir de toute référence aux données à caractère personnel dans les définitions du «contrat de fourniture de contenu numérique non fourni sur un support matériel» et du «contrat de service numérique», et suggère de s’appuyer plutôt sur un concept de contrat en vertu duquel un professionnel fournit ou s’engage à fournir un contenu numérique ou un service numérique spécifique au consommateur, «que le consommateur soit ou non tenu de le payer».

Par ailleurs, le CEPD attire l’attention sur plusieurs interférences potentielles de la proposition avec l’application du cadre de l’Union européenne pour la protection des données, en particulier avec le RGPD, et il formule des recommandations à cet égard.

Tout d’abord, le CEPD souligne que seuls les professionnels peuvent procéder au traitement de données à caractère personnel conformément au cadre de l’Union pour la protection des données, notamment au RGPD.

Deuxièmement, le CEPD craint que l’introduction, par la proposition, de la notion de «contrats de fourniture de contenu numérique ou de service numérique pour lesquels les consommateurs doivent fournir des données à caractère personnel au lieu de payer une somme d’argent» puisse être source de confusion pour les prestataires de services, qui seraient amenés à penser que le traitement de données fondé sur le consentement dans le cadre d’un contrat est conforme à la législation dans tous les cas, même lorsque les conditions de validité du consentement définies dans le RGPD ne sont pas remplies. Cela porterait préjudice à la sécurité juridique.

Troisièmement, l’interaction complexe entre le droit de rétractation du contrat, le retrait du consentement au traitement des données à caractère personnel et l’obligation qui incombe au professionnel de rembourser le consommateur en cas de retrait illustre les difficultés rencontrées pour concilier le concept de «contrats de fourniture de contenu numérique ou de service numérique pour lesquels les consommateurs doivent fournir des données à caractère personnel au lieu de payer une somme d’argent» introduit par la proposition, la nature fondamentale du droit à la protection des données à caractère personnel et le RGPD.

Par ailleurs, le CEPD estime que la proposition devrait modifier l’article 3 de la directive 2011/83/UE et introduire une disposition énonçant clairement qu’en cas de conflit entre ladite directive et le cadre juridique de protection des données, ce dernier prévaut.

En outre, le CEPD accueille favorablement la nouvelle proposition relative aux recours collectifs, qui est destinée à faciliter les recours pour les consommateurs victimes de la même infraction dans une situation dite de préjudice de masse. Le CEPD suppose que le mécanisme de recours envisagé dans la proposition relative aux recours collectifs se veut complémentaire du mécanisme visé à l’article 80 du RGPD sur la représentation des personnes concernées.

Néanmoins, dans la mesure où les questions relatives à la protection des données à caractère personnel relèveraient du champ d’application de l’action collective en vertu de la proposition, le CEPD estime que les «entités qualifiées» qui seront en mesure d’intenter les actions représentatives dans ce domaine au titre de la proposition devraient être soumises aux mêmes conditions que celles énoncées à l’article 80 du RGPD.

Dans le même ordre d’idée, la proposition relative aux recours collectifs devrait préciser que les actions représentatives concernant des questions de protection des données ne peuvent être introduites que devant l’autorité administrative qui est l’autorité de contrôle de la protection des données au sens de l’article 4, point 21, et de l’article 51 du RGPD.

En conclusion, le CEPD estime que l’application de deux mécanismes de recours collectif différents au RGPD et au futur règlement «vie privée et communications électroniques», parmi d’autres points d’interaction importants entre la protection des consommateurs et la protection des données, exige de systématiser la coopération entre les autorités de protection des données et de protection des consommateurs, par exemple, au sein du réseau volontaire déjà existant regroupant les organes chargés de veiller à l’application de la législation dans les domaines de la concurrence, de la protection des consommateurs et de la protection des données, la chambre de compensation numérique.

Enfin, le CEPD se félicite de l’initiative visant à actualiser l’application des règles de protection des consommateurs: la révision du règlement relatif à la coopération en matière de protection des consommateurs. Dans ce cadre, le CEPD considère qu’il est important de continuer à explorer les synergies entre la protection des données et le droit en matière de protection des consommateurs. Il convient de systématiser la coopération entre les autorités de protection des consommateurs et de protection des données lorsque des questions spécifiques d’intérêt mutuel se posent, dans lesquelles le bien-être des consommateurs et la protection des données semblent être en jeu.

I. INTRODUCTION ET CONTEXTE

1. Le 11 avril 2018, la Commission européenne (ci-après la «Commission») a publié la communication intitulée «Une nouvelle donne pour les consommateurs» ( 2 ) (ci-après la «communication»), ainsi que les deux propositions législatives suivantes: — la proposition de directive modifiant la directive 93/13/CEE du Conseil, la directive 98/6/CE, la directive 2005/29/CE et la directive 2011/83/UE concernant une meilleure application et une modernisation des règles de protection des consommateurs de l’Union européenne (3), — la proposition de directive relative aux actions représentatives dans le domaine de la protection des intérêts collectifs des consommateurs, et abrogeant la directive 2009/22/CE (4).

2. Ces deux propositions doivent être considérées comme un paquet ayant des objectifs communs, notamment: — moderniser les règles existantes et combler les lacunes de l’acquis actuel en matière de protection des consommateurs, — améliorer les possibilités de recours pour les consommateurs, soutenir une meilleure application des règles et renforcer la coopération des autorités publiques dans un marché unique équitable et sûr, — accroître la coopération avec les pays partenaires situés en dehors de l’Union, — assurer l’égalité de traitement des consommateurs dans le marché unique et garantir que les autorités nationales compétentes sont habilitées à traiter tout problème de différence de qualité des produits de consommation, — améliorer la communication et le renforcement des capacités pour que les consommateurs soient mieux informés de leurs droits et aider les professionnels, en particulier les petites et moyennes entreprises, à se conformer plus facilement aux obligations qui leur incombent, — examiner les défis futurs pour la politique des consommateurs dans un environnement économique et technologique en mutation rapide.

3. Plus spécifiquement, la proposition concernant une meilleure application et une modernisation des règles de protection des consommateurs de l’Union européenne (ci-après la «proposition») vise à apporter les améliorations suivantes: — des sanctions plus effectives, proportionnées et dissuasives pour les infractions transfrontalières de grande ampleur, — des recours individuels pour les consommateurs, — plus de transparence pour les consommateurs sur les places de marché en ligne, — l’extension de la protection des consommateurs en matière de services numériques, — la suppression des charges pour les entreprises, — la clarification de la liberté pour les États membres d’adopter des règles sur certaines formes et certains aspects des ventes hors établissement, — la clarification des règles sur les pratiques commerciales trompeuses concernant les produits à «double niveau de qualité».

4. Par ailleurs, la proposition de directive relative aux actions représentatives dans le domaine de la protection des intérêts collectifs des consommateurs (ci-après la «proposition relative aux recours collectifs») est destinée à faciliter les recours pour les consommateurs victimes de la même infraction dans une situation dite de préjudice de masse.

5. Le CEPD n’a pas été consulté par la Commission lors de l’adoption de ces deux propositions.

VII. CONCLUSION

Concernant la proposition:

69. Le CEPD se félicite de l’intention de la Commission de moderniser les règles existantes et de combler les lacunes de l’acquis actuel en matière de protection des consommateurs pour répondre aux enjeux actuels, tels que l’émergence de nouveaux modèles d’entreprise en vertu desquels les consommateurs désireux d’accéder à du contenu numérique ou d’utiliser des services numériques doivent fournir des données à caractère personnel.

70. Cependant, le CEPD constate avec inquiétude que les nouvelles définitions envisagées dans la proposition introduiraient la notion de contrats de fourniture de contenu numérique ou de service numérique, pour lesquels le consommateur peut «payer» avec ses données à caractère personnel au lieu de payer une somme d’argent. Le CEPD tient à insister sur le fait que cette nouvelle approche ne résout pas les problèmes découlant de l’utilisation du terme «contrepartie» ou de l’établissement d’une analogie entre la fourniture de données à caractère personnel et le paiement d’un prix. Il estime, notamment, que cette nouvelle approche ne tient pas suffisamment compte de la nature fondamentale du droit à la protection des données, en considérant les données à caractère personnel comme un simple bien économique. Pour garantir un niveau élevé de protection des consommateurs sans risquer de porter atteinte aux principes du droit applicable en matière de protection des données, une autre approche pourrait être envisagée, fondée par exemple sur la définition large de la notion de «service» contenue dans la directive sur le commerce électronique, la disposition définissant le champ d’application territorial du RGPD ou l’article 3, paragraphe 1, de l’orientation générale du Conseil concernant la proposition relative au contenu numérique.

71. Par conséquent, le CEPD recommande de s’abstenir de toute référence aux données à caractère personnel dans les définitions du «contrat de fourniture de contenu numérique non fourni sur un support matériel» et du «contrat de service numérique», et suggère de s’appuyer plutôt sur un concept de contrat en vertu duquel un professionnel fournit ou s’engage à fournir un contenu numérique ou un service numérique spécifique au consommateur, «que le consommateur soit ou non tenu de le payer».

72. Par ailleurs, le CEPD attire l’attention sur plusieurs interférences potentielles de la proposition avec l’application du cadre de l’Union européenne pour la protection des données, en particulier avec le RGPD, et il formule des recommandations: — le traitement de données à caractère personnel peut uniquement être effectué par les professionnels conformément au cadre de l’Union en matière de protection des données, en particulier au RGPD, — l’introduction par la proposition de la notion de «contrats de fourniture de contenu numérique ou de service numérique pour lesquels les consommateurs doivent fournir des données à caractère personnel au lieu de payer une somme d’argent» pourrait être source de confusion pour les prestataires de services, qui seraient amenés à penser que le traitement de données fondé sur le consentement dans le cadre d’un contrat est conforme à la législation dans tous les cas, même lorsque les conditions de validité du consentement définies dans le RGPD ne sont pas remplies. Cela porterait préjudice à la sécurité juridique, — l’introduction par la proposition d’un délai de quatorze jours pour se rétracter du contrat ne peut pas être considérée comme une limitation du droit au retrait du consentement à tout moment prévu dans le RGPD, — il se peut qu’il ne soit pas possible d’évaluer la valeur des données à caractère personnel en cas de rétractation du contrat. On peut donc se demander si la proposition pourrait effectivement garantir une indemnisation juste des consommateurs.

73. Enfin, le CEPD estime que la proposition devrait modifier l’article 3 de la directive 2011/83/UE et introduire une disposition énonçant clairement qu’en cas de conflit entre ladite directive et le cadre juridique de protection des données, ce dernier prévaut.

Concernant la proposition relative aux recours collectifs:

74. Le CEPD accueille favorablement la nouvelle proposition relative aux recours collectifs, qui est destinée à faciliter les recours pour les consommateurs victimes de la même infraction dans une situation dite de préjudice de masse.

75. Néanmoins, dans la mesure où les questions relatives à la protection des données à caractère personnel relèveraient du le champ d’application de l’action collective en vertu de la proposition, le CEPD estime que les «entités qualifiées» qui seront en mesure d’intenter les actions représentatives dans ce domaine au titre de la proposition devraient être soumises aux mêmes conditions que celles énoncées à l’article 80 du RGPD.

76. Dans le même ordre d’idée, la proposition relative aux recours collectifs devrait préciser que les actions représentatives concernant des questions de protection des données ne peuvent être introduites que devant l’autorité administrative qui est l’autorité de contrôle de la protection des données au sens de l’article 4, point 21, et de l’article 51 du RGPD.

77. Le CEPD estime, par ailleurs, que l’application de deux mécanismes de recours collectif différents, au RGPD et au futur règlement «vie privée et communications électroniques», parmi d’autres points d’interaction importants entre la protection des consommateurs et la protection des données, exige de systématiser la coopération entre les autorités de protection des données et de protection des consommateurs, par exemple, au sein du réseau volontaire déjà existant et regroupant les organes chargées de veiller à l’application de la législation dans les domaines de la concurrence, de la protection des consommateurs et de la protection des données, la chambre de compensation numérique.

Concernant la révision du règlement relatif à la coopération en matière de protection des consommateurs:

78. Le CEPD se félicite de l’initiative visant à actualiser l’application des règles de protection des consommateurs: la révision du règlement relatif à la coopération en matière de protection des consommateurs.

79. Dans ce cadre, le CEPD considère qu’il est important de continuer à explorer les synergies entre la protection des données et le droit en matière de protection des consommateurs. Il convient de systématiser la coopération entre les autorités de protection des consommateurs et de protection des données lorsque des questions spécifiques d’intérêt mutuel se posent, dans lesquelles le bien-être des consommateurs et la protection des données semblent être en jeu.

Bruxelles, le 5 octobre 2018. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) JO L 304 du 22.11.2011, p. 64.

(2) Communication de la Commission au Parlement européen, au Conseil et au Comité économique et social européen intitulée «Une nouvelle donne pour les consommateurs», COM(2018) 183 final.

(3) Proposition de directive du Parlement européen et du Conseil modifiant la directive 93/13/CEE du Conseil du 5 avril 1993, la directive 98/6/CE du Parlement européen et du Conseil, la directive 2005/29/CE du Parlement européen et du Conseil et la directive 2011/83/UE du Parlement européen et du Conseil concernant une meilleure application et une modernisation des règles de protection des consommateurs de l’Union européenne, COM(2018) 185 final.

(4) Proposition de directive du Parlement européen et du Conseil relative aux actions représentatives dans le domaine de la protection des intérêts collectifs des consommateurs, et abrogeant la directive 2009/22/CE, COM(2018) 184 final.