Communication de la Commission au Parlement européen et au Conseil

Les règles en matière de protection des données comme instrument pour créer un climat de confiance dans l’UE et au-delà – bilan

I.Introduction

Le règlement général sur la protection des données (ci-après le «règlement») s’applique dans toute l’Union européenne depuis plus d’un an. Il est au cœur d’un cadre de l’Union pour la protection des données cohérent et modernisé qui inclut également la directive en matière de protection des données dans le domaine répressif et le règlement relatif à la protection des données par les institutions et organes de l’Union. Ce cadre doit être complété par le règlement «vie privée et communications électroniques», qui en est actuellement au stade de la procédure législative.

Il est essentiel de disposer de règles solides en matière de protection des données pour garantir le droit fondamental à la protection des données à caractère personnel. Ces règles sont indispensables à une société démocratique et constituent un élément important d’une économie de plus en plus fondée sur les données. L’UE aspire à saisir les nombreuses occasions que la transformation numérique offre sur le plan des services, des emplois et de l’innovation, tout en relevant les défis que cela comporte. Le vol d’identité, la fuite de données sensibles, la discrimination à l’égard de certaines personnes, les préjugés innés, le partage de contenus illégaux et le développement d’outils de surveillance intrusifs ne sont que quelques exemples de questions qui sont de plus en plus souvent soulevées dans le débat public et à l’égard desquelles il est évident que les citoyens souhaitent que leurs données soient protégées.

La protection des données est devenue un phénomène véritablement mondial, les personnes du monde entier s’attachant et tenant de plus en plus à la protection et à la sécurité de leurs données. De nombreux pays ont adopté ou sont en train d’adopter des règles exhaustives en matière de protection des données fondées sur des principes similaires à ceux ancrés dans le règlement, ce qui entraîne une convergence mondiale des règles en la matière et offre de nouvelles possibilités de faciliter les flux de données entre opérateurs commerciaux ou pouvoirs publics, tout en rehaussant le niveau de protection des données à caractère personnel au sein de l’UE et dans le monde entier.

La protection des données est prise plus au sérieux que jamais et a des incidences multiples sur différentes parties prenantes et différents secteurs. La Commission est déterminée à faire en sorte que l’UE mette bien en œuvre le nouveau régime de protection des données et à soutenir tous les aspects nécessaires pour qu’il devienne pleinement opérationnel. Par la présente communication, la Commission dresse le bilan des résultats obtenus jusqu’à présent concernant la mise en œuvre cohérente des règles de protection des données dans l’ensemble de l’Union, le fonctionnement du nouveau système de gouvernance, les incidences sur les citoyens et les entreprises et les efforts déployés par l’UE pour promouvoir une convergence mondiale des régimes de protection des données. La présente communication fait suite à la communication de la Commission relative à l’application du règlement de janvier 2018 et repose sur les travaux du groupe multipartite, en particulier sa contribution à l’exercice consistant à dresser un bilan après un an et les discussions tenues lors de l’événement relatif au bilan organisé par la Commission le 13 juin 2019. Elle constitue également une contribution à l’examen que la Commission prévoit de réaliser d’ici mai 2020.

Le cadre législatif de l'UE en matière de protection des données est une pierre angulaire de l’approche européenne de l’innovation axée sur le facteur humain. Il commence à faire partie du fondement réglementaire d’un nombre croissant de politiques dans des domaines tels que la santé et la recherche, l’intelligence artificielle, les transports, l’énergie, la concurrence et l'application des lois. La Commission n’a eu de cesse d’insister sur l’importance d’une mise en œuvre et d’une application correctes des nouvelles règles en matière de protection des données, comme elle le souligne dans sa communication relative à l’application du règlement publiée en janvier 2018 et dans ses orientations relatives à l’utilisation de données à caractère personnel dans le contexte électoral publiées en septembre 2018. Au moment de la publication de la présente communication, de nombreux progrès avaient été accomplis sur la voie de la réalisation de cet objectif, bien que des efforts supplémentaires soient certainement nécessaires pour que le règlement devienne pleinement opérationnel.

II.Un continent, une législation: le cadre de protection des données est en place dans les États membres

Un objectif clé du règlement consistait à mettre un terme à la fragmentation due aux 28 législations nationales différentes qui existaient en vertu de la directive antérieure relative à la protection des données et à garantir la sécurité juridique aux personnes et aux entreprises dans toute l’UE. Cet objectif a été largement atteint.

L’harmonisation du cadre juridique

Bien que le règlement soit directement applicable dans les États membres, il les a obligés à prendre plusieurs mesures juridiques au niveau national, en particulier à créer des autorités nationales de protection des données et à leur conférer des pouvoirs, à élaborer des règles sur des questions spécifiques, telles que la conciliation de la protection des données à caractère personnel avec la liberté d’expression et d’information, et à modifier ou abroger certains actes législatifs sectoriels renfermant des aspects liés à la protection des données. Au moment de la publication de la présente communication, tous les États membres sauf trois avaient actualisé leur législation nationale en matière de protection des données. Les travaux relatifs à l’adaptation des actes législatifs sectoriels sont toujours en cours au niveau national. À la suite de son intégration dans l’accord sur l’Espace économique européen, l’application du règlement a été étendue à la Norvège, à l’Islande et au Liechtenstein, lesquels ont également adopté leur législation nationale en matière de protection des données.

Cependant, les parties prenantes réclament un degré d’harmonisation plus élevé encore dans certains domaines. En effet, le règlement laisse aux États membres une certaine marge pour préciser son application dans certains domaines, comme l’âge de consentement des enfants pour les services en ligne ou le traitement des données à caractère personnel dans des domaines tels que la médecine ou la santé publique. Dans ce cas, l’action des États membres est encadrée par deux éléments:

I)toute loi nationale visant à préciser le règlement doit satisfaire aux exigences de la charte des droits fondamentaux (et ne pas dépasser les limites fixées par le règlement, qui s’appuie sur la charte);

II)elle ne peut empiéter sur la libre circulation des données à caractère personnel au sein de l’UE.

Dans certains cas, les États membres ont introduit des exigences nationales en plus du règlement, notamment au moyen de nombreux actes législatifs sectoriels, ce qui entraîne une fragmentation et crée des charges inutiles. Un exemple d’exigence supplémentaire introduite par les États membres en plus du règlement est l’obligation prévue par la législation allemande de désigner un délégué à la protection des données dans les entreprises comptant 20 employés ou plus participant en permanence au traitement automatisé de données à caractère personnel.

Poursuite des efforts vers une harmonisation accrue

La Commission mène des dialogues bilatéraux avec les autorités nationales, dans le cadre desquels elle accorde une attention particulière aux mesures nationales concernant:

·l’indépendance effective des autorités de protection des données, y compris au moyen de ressources financières, humaines et techniques suffisantes;