COMMUNICATION DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL

La protection des données: un pilier de l’autonomisation des citoyens et de l’approche de l’Union à l’égard de la transition numérique - deux années d’application du règlement général sur la protection des données

1Les règles en matière de protection des données: un pilier de l’autonomisation des citoyens et de l’approche de l’Union à l’égard de la transition numérique

Le présent rapport est le premier rapport élaboré conformément à l’article 97 du règlement général sur la protection des données (ci-après le «RGPD») concernant l’évaluation et le réexamen de celui-ci, et en particulier l’application et le fonctionnement des règles relatives au transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales, ainsi que des règles en matière de coopération et de contrôle de la cohérence.

Le RGPD, applicable depuis le 25 mai 2018, constitue l’élément central du cadre de l’UE garantissant le droit fondamental à la protection des données, tel qu’il est inscrit dans la charte des droits fondamentaux de l’Union européenne (article 8) et les traités (article 16 du traité sur le fonctionnement de l’Union européenne, ci-après le «TFUE»). Le RGPD a renforcé les garanties apportées en matière de protection des données. Il confère aux citoyens des droits supplémentaires et renforcés, accroît la transparence et garantit une plus grande responsabilité de l’ensemble des acteurs du traitement des données à caractère personnel qui relèvent de son champ d’application. Il dote les autorités indépendantes chargées de la protection des données de pouvoirs d’exécution plus solides et plus harmonisés et met en place un nouveau système de gouvernance. De même, il crée une égalité des conditions de concurrence pour toutes les entreprises exerçant des activités sur le marché de l’UE, indépendamment de leur lieu d’établissement, et garantit la libre circulation des données dans l’UE, renforçant de la sorte le marché intérieur.

Le RGPD est un élément important d’une approche de la technologie qui soit centrée sur l’être humain. Il sert de fil directeur à l’utilisation de la technologie dans le cadre de la double transition écologique et numérique qui caractérise l’élaboration des politiques de l’UE. Cela a été souligné tout récemment dans le livre blanc sur l’intelligence artificielle , ainsi que dans la communication sur la stratégie européenne pour les données (ci-après la «stratégie pour les données») de février 2020.

Dans une économie de plus en plus fondée sur le traitement des données, y compris des données à caractère personnel, le RGPD constitue un outil essentiel permettant de garantir aux citoyens un meilleur contrôle de leurs données à caractère personnel, ainsi qu’un traitement légal, équitable et transparent de ces données à des fins légitimes. Le RGPD contribue par ailleurs à favoriser une innovation digne de confiance, notamment par son approche fondée sur les risques et par des principes tels que le respect de la vie privée dès la conception et par défaut. La Commission a proposé de compléter le cadre législatif relatif à la protection des données et à la vie privée par le règlement «vie privée et communications électroniques» , qui doit remplacer l’actuelle directive «vie privée et communications électroniques» . Cette proposition est actuellement examinée par les colégislateurs, et il est très important qu’elle soit adoptée rapidement.

Dans le cadre des grandes priorités définies par la Commission en vue d’une «Europe adaptée à l’ère numérique» et du «pacte vert pour l’Europe», de nouvelles initiatives peuvent être élaborées pour permettre aux citoyens de jouer un rôle plus actif dans la transition numérique et pour tirer profit de l’utilisation des outils numériques en vue de parvenir à une société neutre pour le climat et à un développement plus durable. Le RGPD définit un cadre pour ces initiatives et garantit que celles-ci sont conçues de façon à fournir effectivement des moyens d’action aux citoyens.

La stratégie pour les données préconise la création d’un «espace européen commun des données» constituant un véritable marché unique des données, ainsi que d’espaces européens communs des données au niveau sectoriel, pertinents aux fins de la double transition écologique et numérique. Pour toutes ces priorités, un cadre clair et opérationnel est essentiel en vue d’un partage de données sûr et d’une plus grande disponibilité des données. Dans le cadre de sa stratégie pour les données, la Commission a également fait part de son intention d’examiner dans sa législation future les moyens de permettre l’utilisation des données conservées dans des bases de données publiques à des fins de recherche scientifique, dans le respect du RGPD. Les espaces des données doivent être encouragés par la fédération européenne de l’informatique en nuage pour permettre un traitement des données et des services d’infrastructures en nuage conformes au RGPD. Le RGPD garantit un niveau élevé de protection des données à caractère personnel et confère aux individus un rôle central dans tous ces espaces des données, tout en offrant la souplesse nécessaire permettant de concilier des approches différentes.

La nécessité de garantir la confiance et la demande de protection des données à caractère personnel ne se limitent certainement pas à l’UE. Partout dans le monde, les citoyens accordent de plus en plus d’importance à la confidentialité et à la sécurité de leurs données. Ainsi qu’il ressort d’une enquête récente de portée mondiale, il s’agit selon eux d’un aspect important, qui influence leurs décisions d’achat et leur comportement en ligne. Un nombre croissant d’entreprises ont répondu à cette demande de protection de la vie privée, notamment en étendant volontairement certains des droits et garanties prévus par le RGPD à leurs clients établis en dehors de l’UE. De nombreuses entreprises promeuvent également le respect des données à caractère personnel en tant qu’atout concurrentiel et argument de vente sur le marché mondial, en offrant des produits et des services innovants assortis de solutions novatrices en matière de protection de la vie privée ou de sécurité des données. En outre, la capacité accrue des acteurs privés et publics de collecter et de traiter des données à grande échelle soulève des questions importantes et complexes, qui placent de plus en plus la protection de la vie privée au centre du débat public dans différentes parties du monde.

L’adoption du RGPD a incité d’autres pays, dans de nombreuses régions du monde, à envisager de suivre la voie de l’UE. Il s’agit d’une tendance véritablement mondiale, qui s’observe du Chili à la Corée du Sud, du Brésil au Japon, du Kenya à l’Inde et de la Californie à l’Indonésie. Le rôle de chef de file joué par l’Union en faveur de la protection des données montre que l’Union peut être une référence à l’échelle mondiale. Il a été salué par des acteurs importants sur la scène internationale, parmi lesquels le secrétaire général des Nations unies, M. António Guterres, qui a souligné combien le RGPD a «donné l’exemple [...] qui a inspiré des mesures similaires ailleurs» et a «demand[é] instamment à l’UE et aux États membres de continuer à jouer un rôle moteur en vue de façonner l’ère numérique et d’être à l’avant-garde de l’innovation et de la réglementation dans le domaine technologique».

La crise actuelle liée à la pandémie de COVID-19 est une illustration éloquente de cette mondialisation du débat sur la protection de la vie privée, tant durant la crise proprement dite que dans le cadre des efforts déployés dans le monde pour en sortir. Dans l’UE, plusieurs États membres ont pris des mesures d’urgence afin de protéger la santé publique. Le RGPD est clair quant au fait que toute limitation doit respecter le contenu essentiel des libertés et droits fondamentaux et constituer une mesure nécessaire et proportionnée dans une société démocratique pour garantir un intérêt public, tel que la santé publique. Alors que les mesures de confinement sont progressivement levées, les décideurs doivent répondre aux attentes des citoyens, qui veulent des solutions numériques dignes de confiance et respectueuses des droits à la vie privée et à la protection des données à caractère personnel.

Dans de nombreux pays, des mesures intégrées de protection de la vie privée, telles que le consentement volontaire des utilisateurs, la minimisation et la sécurité des données et l’exclusion de la géolocalisation, sont considérées comme essentielles pour garantir la fiabilité et l’acceptation par la société de solutions fondées sur des données qui visent à contrôler et à contenir la propagation du virus, à calibrer les contre-mesures de politique publique, à aider les patients ou à mettre en œuvre des stratégies de sortie. Dans l’Union, le cadre législatif relatif à la protection des données et au respect de la vie privée s’est avéré être un outil suffisamment souple pour permettre l’élaboration de solutions pratiques (comme, par exemple, des applications de traçage) tout en garantissant un niveau élevé de protection des données à caractère personnel. Dans ce contexte, la Commission a publié le 16 avril 2020 des orientations sur les applications soutenant la lutte contre la pandémie de COVID-19 en ce qui concerne la protection des données.

La protection des données à caractère personnel est également déterminante pour prévenir la manipulation des choix posés par les citoyens, en particulier au moyen d’un microciblage des électeurs sur la base d’un traitement illicite de données à caractère personnel, pour empêcher toute interférence dans les processus démocratiques et pour préserver le débat ouvert, l’équité et la transparence, essentiels dans une démocratie. C’est la raison pour laquelle la Commission a publié en septembre 2018 des orientations relatives à l’application du droit de l’UE en matière de protection des données dans le contexte électoral.

Pour cette évaluation et cet examen, la Commission a tenu compte des contributions du Conseil, du Parlement européen, du comité européen de la protection des données (ci-après le «comité») et de différentes autorités de protection des données, du groupe d’experts multipartite et d’autres parties prenantes, y compris au moyen des retours d’information sur la feuille de route

De l’avis général, deux ans après son entrée en vigueur, le RGPD a atteint ses objectifs, à savoir renforcer la protection des droits des citoyens en matière de protection des données à caractère personnel et garantir la libre circulation des données à caractère personnel dans l’UE. Toutefois, plusieurs domaines ont également été désignés comme devant faire l’objet d’améliorations à l’avenir. À l’instar de la plupart des parties prenantes et des autorités chargées de la protection des données, la Commission considère qu’il serait prématuré à ce stade de tirer des conclusions définitives sur l’application du RGPD. Il est probable qu’une plus grande expérience de cette application dans les années à venir sera utile pour résoudre la plupart des problèmes mis en évidence par les États membres et les parties prenantes. Néanmoins, le présent rapport met en lumière les difficultés rencontrées à ce jour pour ce qui est de l’application du RGPD et indique des solutions possibles pour y remédier.

Même s’ils mettent l’accent sur les deux aspects soulignés à l’article 97, paragraphe 2, du RGPD, à savoir les transferts internationaux et les mécanismes de coopération et de contrôle de la cohérence, cette évaluation et cet examen adoptent une approche plus large permettant de se pencher également sur des aspects évoqués par divers acteurs au cours des deux dernières années.

2Principales constatations