FR Journal officiel de l'Union européenne C 200/10

Résumé de l’avis sur la proposition de directive concernant certains aspects des contrats de fourniture de contenu numérique

(Le texte complet de l’avis en allemand, anglais et français est disponible sur le site internet du CEPD www.edps.europa.eu)

(2017/C 200/07)

Le CEPD reconnaît l’importance de l’économie basée sur les données, pour la croissance de l’Union européenne (UE) et son rôle majeur dans l’environnement numérique tel que défini dans la stratégie pour un marché unique numérique. Nous avons toujours milité en faveur de la création de synergies et de la complémentarité entre la loi relative à la protection des consommateurs et la loi relative à la protection des données. Par conséquent, nous soutenons l’objectif de la proposition de la Commission de décembre 2015 concernant certains aspects des contrats de fourniture de contenu numérique, consistant à renforcer la protection des consommateurs qui sont obligés de communiquer des données comme condition préalable à la fourniture de «biens numériques».

Cependant, la proposition présente un aspect problématique en ce sens qu’elle sera applicable non seulement aux situations où un prix est payé pour le contenu numérique, mais aussi aux situations où le contenu numérique est fourni en échange d’une contrepartie non pécuniaire, sous la forme de données personnelles ou de toutes autres données. Le CEPD met en garde contre toute nouvelle disposition qui introduirait l’idée que les personnes peuvent payer avec leurs données de la même manière qu’elles peuvent payer avec de l’argent. En effet, les droits fondamentaux, comme le droit à la protection des données à caractère personnel, ne peuvent être réduits aux seuls intérêts des consommateurs, et les données à caractère personnel ne peuvent être considérées comme une simple marchandise.

Le cadre juridique récemment adopté en matière de protection des données (le «RGPD») n’est pas encore pleinement applicable, et la proposition d’une nouvelle directive «vie privée et communications électroniques» est en cours d’examen. L’Union européenne devrait donc éviter toute nouvelle proposition qui risquerait de perturber l’équilibre subtil négocié par le législateur européen en ce qui concerne les règles de protection des données. La mise en œuvre d’initiatives concurrentes pourrait mettre en danger la cohérence du marché unique numérique, avec pour conséquence une fragmentation réglementaire et une insécurité juridique. Le CEPD recommande à l’Union européenne d’appliquer le RGPD comme moyen de régulation de l’utilisation des données à caractère personnel dans l’économie numérique.

La notion des «données comme contrepartie» — notion qui n’a pas été définie dans la proposition — risque de créer de la confusion quant à la fonction précise des données dans une transaction donnée. L’absence d’informations claires à cet égard de la part des fournisseurs pourrait ajouter des difficultés supplémentaires. Aussi, afin de résoudre ce problème, nous suggérons d’envisager d’utiliser la définition des services prévue au TFUE ou la disposition employée par le RGPD pour définir son champ d’application territorial.

Le présent avis examine les différentes interactions potentielles entre la proposition et le RGPD.

Premièrement, la définition très large des «données à caractère personnel» prévue par la législation relative à la protection des données pourrait bien avoir pour conséquence que toutes les données relevant du champ d’application de la proposition de directive soient considérées comme des «données à caractère personnel» au sens du RGPD.

Deuxièmement, les conditions strictes dans lesquelles un traitement peut être effectué sont déjà énoncées dans le RGPD, et il n’est pas nécessaire de les modifier ou de les compléter dans la proposition de directive. Si la proposition semble juger légitime l’utilisation des données comme contrepartie, le RGPD prévoit notamment un nouvel ensemble de conditions pour apprécier la validité du consentement et pour déterminer si celui-ci peut être considéré comme donné librement dans le cadre de transactions numériques.

Enfin, en accordant au consommateur le droit d’obtenir ses données auprès du fournisseur après la résiliation du contrat, et en prévoyant l’obligation pour le fournisseur de s’abstenir d’utiliser les données, la proposition risque d’empiéter sur les droits d’accès et de portabilité, mais aussi sur l’obligation du fournisseur de s’abstenir d’utiliser les données, et sur les obligations du responsable du traitement au titre du RGPD. Cela pourrait être une source involontaire de confusion quant au régime applicable.

1. INTRODUCTION ET CONTEXTE

1.1. La consultation du CEPD par le Conseil

1. Le 9 décembre 2015, la Commission européenne a présenté deux propositions législatives pour de nouvelles règles concernant la vente en ligne de biens. La proposition de règles relatives aux contrats numériques comporte deux projets d’actes législatifs: — une proposition de directive concernant certains aspects des contrats de fourniture de contenu numérique (1), — une proposition de directive concernant certains aspects des contrats de vente en ligne de biens (corporels) (2).

2. Ces deux propositions doivent être considérées comme un ensemble législatif visant des objectifs communs, et notamment l’élimination des principaux obstacles au commerce électronique transfrontière dans l’Union européenne (3). En ce qui concerne plus particulièrement la proposition de directive relative à certains aspects des contrats de fourniture de contenu numérique aux consommateurs (ci-après la «proposition»), celle-ci a pour objectif de mettre en place un ensemble de règles unique régissant les contrats de vente et de location de contenu numérique, ainsi que les contrats de services numériques (4). Le CEPD n’a pas été consulté par la Commission lors de l’adoption de la proposition.

3. Le 21 novembre 2016, la commission LIBE a rendu son avis sur la proposition (5). La commission du marché intérieur et de la protection des consommateurs du Parlement européen (IMCO) et la commission des affaires juridiques (JURI) ont publié un projet de rapport conjoint sur la proposition, le 7 novembre 2016 (6).

4. Le Conseil examine actuellement la proposition au sein du Groupe de travail sur le droit civil (droit des contrats). Dans ce contexte, le 10 janvier 2017, le Conseil a décidé de consulter le CEPD sur la proposition. Le CEPD se réjouit de l’initiative du Conseil de consulter le CEPD sur cette législation importante qui soulève de nombreuses questions concernant le droit de l’Union en matière de protection des données à caractère personnel. Le présent avis constitue la réponse du CEPD à la demande du Conseil.

1.2. La proposition

5. À l’heure actuelle, la fourniture de contenu numérique au niveau de l’Union européenne est en partie régulée par la directive relative aux droits des consommateurs (7), la directive relative aux clauses abusives dans les contrats conclus avec les consommateurs (8) et la directive relative au commerce électronique (9). La directive relative aux droits des consommateurs n’est pas applicable car la définition de «biens de consommation» qu’elle contient s’étend uniquement aux «biens mobiliers corporels».

6. Plusieurs États membres ont déjà adopté des règles spécifiques pour les contenus numériques, ce qui a créé des différences de portée et de contenu entre les règles nationales régissant ces contrats (10). La proposition a donc pour objet de garantir une protection harmonisée des consommateurs en ce qui concerne le contenu numérique. Dans ce contexte, la proposition envisage un niveau d’harmonisation maximal.

7. S’agissant du champ d’application de la proposition, celui-ci couvrirait non seulement les biens numériques (tels que les films ou la musique, les programmes informatiques, les applications mobiles, les livres électroniques), mais aussi les services numériques (tels que les plateformes de réseaux sociaux et les services d’informatique en nuage). Pour qu’un contrat numérique relève du champ d’application de la proposition de directive, soit le contrat doit prévoir le paiement d’un prix par le consommateur, soit «une contrepartie [non pécuniaire], sous la forme de données personnelles ou de toutes autres données, doit être apportée de façon active» par le consommateur (11).

8. La proposition introduit une «hiérarchie de modes de dédommagement» en cas de non-conformité du contenu numérique ou du service fourni par le vendeur, et elle prévoit le droit pour le consommateur de récupérer les données après la résiliation du contrat dans un «format de données couramment utilisé» (12). La proposition impose également l’obligation pour les fournisseurs de s’abstenir d’utiliser les données fournies comme contrepartie après la résiliation du contrat (13).

9. La proposition fait référence au concept des données à caractère personnel dans trois situations: — l’utilisation des données (y compris les données à caractère personnel) en tant que «contrepartie non pécuniaire» (14), — une référence aux données qui sont «strictement nécessaires à l’exécution du contrat» (15), — une référence aux «autres données produites ou générées par suite de l’utilisation du contenu numérique par le consommateur» (16).

10. La référence au concept des données à caractère personnel engendre des interactions potentielles entre la proposition et les règles de protection des données, telles que définies, entre autres, dans la directive relative à la protection des données 95/46/CE (17) et dans le RGPD (18). En outre, comme affirmé dans la proposition, la directive est sans préjudice de la protection des personnes physiques à l’égard du traitement des données à caractère personnel (19). Le présent avis portera donc sur les interactions entre la proposition et le cadre actuel et futur de l’Union européenne en matière de protection des données (20).

CONCLUSION

79. Le CEPD se félicite de l’initiative de la Commission visant à assurer une protection élargie aux consommateurs de l’Union européenne, en étendant cette protection aux «biens numériques» et en incluant les cas où les consommateurs n’effectuent pas de paiement.

80. Le CEPD reconnaît l’importance de disposer de règles claires et actualisées qui soient à même d’accompagner et de favoriser le développement de l’économie numérique. À cet égard, le CEPD suit toujours attentivement les initiatives de la Commission concernant le marché unique numérique, dans la mesure où l’importance des données comme source de croissance et d’innovation est au cœur de ces initiatives.

81. Dans ce contexte, nous nous réjouissons de l’initiative du Conseil de consulter le CEPD. Cette consultation est l’occasion pour le CEPD d’adresser plusieurs recommandations et messages aux législateurs, dans le cadre de l’examen de la proposition soumise au CEPD.

82. S’agissant des interactions entre la proposition et la législation relative à la protection des données: — la proposition soulève un certain nombre de questions en raison des droits fondamentaux attachés à ces données et de la protection spécifique accordée à celles-ci par le cadre juridique de l’Union européenne en matière de protection des données, — la proposition devrait éviter d’inclure des dispositions qui pourraient avoir un impact sur le cadre régissant la protection des données, dans la mesure où elle est fondée sur l’article 114 TFUE, qui ne constitue plus la base appropriée pour réglementer le traitement des données, — la proposition ne devrait en aucun cas modifier l’équilibre trouvé par le RGPD concernant les circonstances dans lesquelles le traitement de données à caractère personnel peut avoir lieu sur le marché numérique.

83. S’agissant de l’utilisation des données en tant que contrepartie: — le CEPD considère que le terme «les données comme contrepartie» devrait être évité, — à cet égard, le CEPD propose d’autres solutions possibles: — la notion de «services» en droit européen pourrait être utilisée pour envisager la manière dont les services pourraient être couverts lorsque aucun prix n’est payé, — le champ d’application du RGPD, qui recouvre l’offre de biens et de services, qu’un paiement soit exigé ou non, pourrait également constituer un élément d’appréciation utile.

84. S’agissant des interactions entre la proposition et le RGPD: — compte tenu de la définition très large des données à caractère personnel, il est probable que la quasi-totalité des données fournies par le consommateur au fournisseur du contenu numérique seront considérées comme des données à caractère personnel, — le CEPD recommande d’éviter de faire référence aux données fournies (activement) par le consommateur, dans la mesure où cela est contraire aux règles existantes et futures en matière de protection des données, — la proposition devrait explicitement prévoir que les données traitées par les fournisseurs ne seront utilisées que dans la mesure où un tel traitement est conforme au cadre de l’Union européenne en matière de protection des données, et notamment au RGPD et à la législation relative à la vie privée et aux communications électroniques, — le CEPD recommande que les articles 13 et 16 de la proposition fassent référence au RGPD s’agissant du droit à l’effacement et du droit d’accès de la personne concernée, dans la mesure où le traitement concerne des données à caractère personnel. En cas de traitement de données non personnelles («autres données»), le CEPD recommande, par souci de cohérence, que les dispositions des articles 13 et 16 soient mises en conformité avec le régime prévu par le RGPD.

Bruxelles, le 14 mars 2017. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) Proposition de directive du Parlement européen et du Conseil concernant certains aspects des contrats de fourniture de contenu numérique, COM/2015/0634, consultable à l’adresse suivante: http://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1450431933547&uri=CELEX:52015PC0634

(2) Proposition de directive concernant certains aspects des contrats de ventes en ligne et de toute autre vente à distance de biens, COM/2015/0635 final.

(3) Pour en savoir plus, voir http://ec.europa.eu/justice/contract/digital-contract-rules/index_fr.htm

(4) La Commission avait déjà mené une tentative dans ce domaine: voir la proposition de règlement du Parlement européen et du Conseil relatif à un droit commun européen de la vente, COM/2011/0635 final, proposition qui a ensuite été abandonnée par la Commission.

(5) Consultable à l’adresse suivante: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-%2f%2fEP%2f%2fNONSGML%2bCOMPARL22bPE-582.370%2b03%2bDOC%2bPDF%2bV0%2f%2fFR

(6) Consultable à l’adresse suivante: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-%2f%2fEP%2f%2fNONSGML%2bCOMPARL%2bPE-592.444%2b01%2bDOC%2bPDF%2bV0%2f%2fFR

(7) Directive 2011/83/UE du Parlement européen et du Conseil du 25 octobre 2011 relative aux droits des consommateurs, modifiant la directive 93/13/CEE du Conseil et la directive 1999/44/CE du Parlement européen et du Conseil et abrogeant la directive 85/577/CEE du Conseil et la directive 97/7/CE du Parlement européen et du Conseil (JO L 304 du 22.11.2011, p. 64).

(8) Directive 93/13/CEE du Conseil du 5 avril 1993 concernant les clauses abusives dans les contrats conclus avec les consommateurs (JO L 95 du 21.4.1993, p. 29).

(9) Directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur (la «directive sur le commerce électronique») (JO L 178 du 17.7.2000, p. 1).

(10) Voir l’exposé des motifs de la proposition, page 3.

(11) Voir l’article 3, paragraphe 1, de la proposition.

(12) Voir l’article 13, paragraphe 2, point c), de la proposition.

(13) Article 13, paragraphe 2, point b), de la proposition.

(14) Voir l’article 3, paragraphes 1 et 4, l’article 13, paragraphe 2, point b), l’article 15, paragraphe 2, point c), et l’article 16, paragraphe 4, point a), de la proposition.

(15) Voir l’article 3, paragraphe 4, de la proposition.

(16) Article 13, paragraphe 2, point b), et article 16, paragraphe 4, point b), de la proposition.

(17) Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281 du 23.11.1995, p. 31).

(18) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (le règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(19) Article 3, paragraphe 8, de la proposition.

(20) À l’heure actuelle, dans le cadre de l’analyse de la proposition, les principaux textes applicables sont la directive 95/46/CE, qui sera abrogée et remplacée par le règlement (UE) 2016/679, et la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (la directive sur la vie privée et les communications électroniques) (JO L 201 du 31.7.2002, p. 37) (également dénommée directive «vie privée et communications électroniques»). La directive «vie privée et communications électroniques» devrait être abrogée par la proposition de règlement du Parlement européen et du Conseil concernant le respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques et abrogeant la directive 2002/58/CE du 10 janvier 2017, COM(2017) 10 final (le règlement «vie privée et communications électroniques»).