QUESTION ÉCRITE E-0718/02

posée par Erik Meijer (GUE/NGL) à la Commission

(15 mars 2002)

Objet: Collecte forcée de données par le NET Passport de Microsoft et mesures de protection de la vie privée des utilisateurs

1. La Commission connaît-elle le service gratuit NET Passport de Microsoft, qui, pendant que les consommateurs procèdent à un achat, participent à un jeu, font une recherche ou effectuent une opération bancaire, collecte en permanence leurs données personnelles via, par exemple, une adresse e-mail (hotmail), un programme de conversation (MSN Messenger), un commerce (Expedia.com), une enchère (QXL), une communauté (MSN Communities) ou une chaîne d'hôtels (Hilton.com), suite à quoi les titulaires d'une adresse hotmail peuvent communiquer furtivement et sans se faire remarquer une quantité énorme de données personnelles à un inconnu?

2. La Commission sait-elle également que le fait de ne pas s'inscrire au NET Passport conduit à être exclu (des services) de nombreux sites, qu'il n'est pas possible de se faire rayer, que les données anciennes ne sont éliminées que périodiquement et que les mots de passe à donner, qui ne comportent que six caractères, peuvent facilement être découverts par des tiers se faisant passer pour des gestionnaires de systèmes ou ayant une bonne connaissance des dictionnaires?

3. La Commission juge-t-elle acceptable que les utilisateurs de terminaux publics dans les universités, bibliothèques et cafés Internet risquent, s'ils ne sortent pas correctement du système, de communiquer leurs données confidentielles à l'utilisateur suivant, qu'en cas de location de logiciels par Internet (utilisation des serveurs de Microsoft au lieu de son propre disque dur), l'accès n'est possible qu'avec NET Passport, et que Microsoft, en raison de son monopole de fait, pourra, dans les prochaines années, facturer un prix élevé pour des services qui sont aujourd'hui encore gratuits?

4. La constitution d'une base de données personnelles très vaste par une entreprise dominante est-elle légale? Le NET Passport a-t-il dû être notifié aux organes nationaux contrôlant le respect de la législation relative à la protection de la vie privée? Une telle obligation est-elle prévue dans chaque État membre? Vaut-elle également si la base de données ne se trouve pas sur le territoire d'un État membre de l'Union européenne?

5. Les services d'enquête nationaux ou européens peuvent-ils disposer des données collectées sans l'accord préalable de l'intéressé ou d'un juge?

6. La Commission considère-t-elle qu'il faut arrêter des règles pour empêcher toute utilisation abusive par des parties intéressées et exclure définitivement toute atteinte à la réglementation en vigueur en matière de protection de la vie privée?

Réponse donnée par M. Bolkestein au nom de la Commission

(7 mai 2002)

1. à 3. La Commission connaît effectivement le système .NET Passport de Microsoft ainsi que les possibilités qu'il est censé offrir et partage certaines des préoccupations de l'Honorable Parlementaire. La Commission examine actuellement cette affaire en priorité, en concertation avec les autorités nationales chargées de la protection des données, afin de déterminer si ce système est compatible (ou pas) avec la législation communautaire en matière de protection des données.

4. Une entreprise opérant dans l'Union est soumise au droit communautaire et ne peut constituer une base de données contenant des informations à caractère personnel qu'à condition de respecter les obligations fixées dans la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données(1). L'entreprise doit notamment avoir des finalités spécifiques et légitimes et elle doit indiquer aux personnes concernées l'identité du responsable des données, les finalités de la collecte ainsi que les droits dont ces personnes disposent, tel que le droit d'accès à leurs données personnelles. Dans les cas où un consentement est requis pour le traitement des données, la directive exige qu'il soit sans équivoque et donné librement. La directive contient également l'obligation de notifier de tels traitements aux autorités chargées de la protection des données, mais prévoit certaines dérogations en la matière. La Commission n'est actuellement pas en mesure de dire si ce traitement de données a été notifié au sein de la Communauté.

Il est très difficile de savoir si et dans quelle mesure la directive s'applique à une base de données (ou, selon les termes de la directive, à un responsable du traitement) située en dehors de l'Union, surtout lorsque les données sont collectées directement auprès des personnes concernées à travers l'internet; la Commission et les autorités nationales chargées de la protection des données étudient attentivement cette question. Conformément à l'article quatre, paragraphe 1, point c), de la directive, celle-ci est applicable lorsque le responsable recourt à des moyens, automatisés ou non, situés sur le territoire d'un État membre. En d'autres termes, dans certains cas du moins, la directive s'applique à des responsables qui se trouvent en dehors de la Communauté. En outre, des règles nationales spécifiques concernant un pays tiers dans lequel le responsable est établi peuvent également être applicables et mises en oeuvre dans cette juridiction. À cet égard, Microsoft a informé le ministère américain du commerce qu'il souscrit à une politique de respect de la vie privée qui est conforme au dispositif de la sphère de sécurité(2).

5. En vertu des dispositions législatives, les services d'enquête peuvent faire usage d'informations collectées sans l'accord préalable de la personne concernée ou d'un juge, à condition que les droits de la défense soient respectés et que la limitation du droit à la vie privée soit strictement nécessaire aux fins de l'enquête pénale. Les informations collectées au cours de l'enquête ne peuvent être utilisées que dans la mesure où elles sont nécessaires aux fins de celle-ci.

6. Conformément à l'article 33 de la directive, la Commission examine actuellement l'application de la directive 95/46/CE et entend présenter un rapport d'ici la fin de l'année. Les atteintes à la réglementation en vigueur seront étudiées dans ce contexte.

(1) JO L 281 du 23.11.1995.

(2) Voir décision 2000/520/CE de la Commission du 26 juillet 2000 conformément à la directive 95/46/CE du Parlement européen et du Conseil relative à la pertinence de la protection assurée par les principes de la sphère de sécurité et par les questions souvent posées y afférentes, publiés par le ministère du commerce des États-Unis d'Amérique, JO L 215 du 25.8.2000.