QUESTION ÉCRITE E-2439/02

posée par Erik Meijer (GUE/NGL) à la Commission

(28 août 2002)

Objet: Accord entre Microsoft et la commission américaine FTC (Commission fédérale du commerce) sur la non-utilisation des données collectées et sur la prochaine évaluation de l'UE

1. Dès lors que des voix n'ont de cesse de dénoncer le fait qu'il est toujours possible de stocker beaucoup plus de données sur les utilisateurs de Microsoft .NET Passport que Microsoft n'a longtemps bien voulu l'admettre, la Commission sait-elle que Microsoft et la commission fédérale américaine du commerce ont conclu début août un accord aux termes duquel Microsoft renonce à l'utilisation des données qu'elle a récoltées et s'engage à permettre dans un an le contrôle de ce système par une troisième instance?

2. Est-elle convenue, comme les organisations américaines de protection des consommateurs et les concurrents de Microsoft, que ces accords, tout en constituant un pas important dans la bonne direction, ne garantissent pas de façon absolue qu'il ne sera plus possible d'utiliser les données récoltées, d'autant que Microsoft a, dans le passé, nié l'existence de plusieurs des possibilités qui s'avèrent exister aujourd'hui et continue encore toujours de faire valoir l'intérêt, pour les consommateurs, d'un stockage de leurs données pendant 90 jours sans leur consentement?

3. Se souvient-elle avoir déclaré dans ses réponses aux questions E-3111/01(1) (Windows XP), et E-3430/01(2) (Smart Tags) qu'elle n'avait jamais été saisie d'aucune plainte? Comment concilie-t-elle cela avec le fait que, d'après mes observations, il y a bel et bien des groupes et des personnes qui se plaignent? Qui est habilité à déposer plainte, à quelles conditions doivent-elles satisfaire pour être prises en considération par la Commission et dans quels délais les résultats sont-ils connus?

4. Compte-t-elle effectivement veiller à ce que les activités de Microsoft à l'intérieur de l'UE, entrent pleinement dans la sphère du droit communautaire de manière que toute banque de données contenant des données personnelles devra satisfaire aux critères de la directive 95/46/CEE(3) du 24 octobre 1995 c'est-à-dire que les intéressés doivent connaître la finalité du traitement, les droits des utilisateurs, savoir qui est responsable de quoi, que le recours à toute forme de contrainte est interdit et que les traitements sont notifiés à l'autorité de contrôle de l'État membre intéressé? Ne sera-t-il techniquement plus possible de collecter secrètement des données, alors que c'est toujours le cas aux États-Unis? La Commission tiendra-t-elle compte de ces efforts dans l'évaluation, conforme à l'article 33 de la directive 95/46/CE, qu'elle avait annoncée pour avant la fin 2002 dans sa réponse à la question E-0718/02(4)?

(1) JO C 147 E du 20.6.2002, p. 97.

(2) JO C 172 E du 18.7.2002, p. 60.

(3) JO L 281 du 23.11.1995, p. 31.

(4) JO C 205 E du 29.8.2002, p. 200.

Réponse donnée par M. Bolkestein au nom de la Commission

(1er octobre 2002)

1. En effet, la Commission a été contactée et informée directement par la Commission fédérale du commerce (FTC) le jour où cette résolution exécutoire a été publiée. La Commission entretient des relations régulières avec la FTC à propos de nombreux sujets et notamment à propos de la mise en oeuvre des Principes de la sphère de sécurité relatifs à la protection de la vie privée.

2. La Commission reconnaît que la résolution de la FTC constitue effectivement un pas important dans la bonne direction. Même si la FTC opère dans un cadre juridique différent de celui existant en Europe, la Commission estime que les mesures d'exécution prises par celle-ci sont efficaces.

3. La Commission peut confirmer qu'elle n'a pas été directement saisie de plaintes portant sur les points abordés dans cette question. Elle entend le terme plainte tel qu'il est défini dans la communication au Parlement européen et au médiateur européen concernant les relations avec le plaignant en matière d'infractions au droit communautaire publiée en mars 2002(1): On entend par plainte toute démarche écrite auprès de la Commission qui dénonce des mesures ou pratiques contraires au droit communautaire. Toute personne peut mettre en cause un État membre en déposant, sans frais, une plainte auprès de la Commission pour dénoncer une mesure (législative, réglementaire ou administrative) ou une pratique imputable à un État membre qu'elle estime contraires à une disposition ou à un principe de droit communautaire. Cette même communication expose les autres caractéristiques des politique et pratique de la Commission en matière de plaintes.

4. Les autorités chargées de la protection des données dans les États membres sont les premières instances qui veillent au respect des règles de protection des données, elles se réunissent régulièrement dans le cadre du groupe de travail institué au titre de l'article 29 de la directive sur la protection des données (directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données). La Commission assure le secrétariat de ce groupe de travail et de ses task forces.

Le groupe de travail est conscient de l'expansion des services d'authentification en ligne. Il a souligné que ces services devaient respecter les principes de base de la protection des données. .NET Passport de Microsoft étant l'initiative la plus importante à l'heure actuelle dans ce domaine, la task force Internet du groupe de travail a procédé à une étude initiale de ce système et en a fait rapport au groupe de travail.

Lors de sa réunion des 1er et 2 juillet 2002, le groupe de travail a estimé que, bien que Microsoft ait mis en place diverses mesures pour assurer la protection des données, un certain nombre d'éléments du système .NET Passport soulevaient des problèmes juridiques et nécessitaient un examen approfondi. Il a décidé, par conséquent, d'entreprendre cette analyse approfondie, si nécessaire en concertation avec Microsoft, afin d'évaluer si les principes européens de protection des données sont correctement appliqués et, le cas échéant, d'identifier les éléments du système qui requièrent des modifications(2). À la demande de la FTC, la Commission a informé les membres du groupe de travail de la mesure exécutoire prise par la FTC à l'encontre de Microsoft. Le groupe de travail se réunira de nouveau les 2 et 3 octobre 2002 et poursuivra ses discussions à ce sujet.

Le réexamen par la Commission de la directive 95/46/CE couvrira de nombreux aspects et tiendra compte de l'ensemble des informations utiles et pertinentes portées à sa connaissance.

(1) COM(2002) 141 final.

(2) Le texte intégral du document adopté est disponible à l'adresse: http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wp60_fr.pdf.