Révision de la directive européenne relative à la protection des données à caractère personnel
Le 25 janvier, la Commission européenne a publié les projets relatifs à la révision de la directive 95/46 CE relative à la protection des données à caractère personnel.
L’objectif annoncé est une réforme globale des règles de protection des données à caractère personnel, afin de permettre une harmonisation maximale des règles pour tous les pays de l’Union européenne et offrir ainsi aux citoyens le meilleur niveau de protection de leurs données à caractère personnel.
Pour cela, et c’est là la grande nouveauté de la réforme portée par la DG justice (Commissaire Viviane Reding), le dispositif est composé de 2 textes :
- Un règlement qui remplacera la directive 95/46 CE, cadre général de l’UE en matière de protection des données afin de supprimer toute divergence nationale et assurer un niveau élevé de protection des données. Le règlement, directement applicable, institue un cadre législatif communautaire unique. Contrairement à la directive, qui constitue un minimum commun mais dont la transposition peut être adaptée aux impératifs nationaux, le règlement s’applique tel quel, sans aucune marge de manœuvre pour les états membres. Pourquoi un tel choix ? L’UE considère que l’harmonisation dans les états membres est insuffisante, tant en ce qui concerne les modalités d’exercice de leurs droits par les personnes physiques que sur l’harmonisation des pouvoirs conférés aux autorités nationales.
- Une directive qui remplacera la décision-cadre 2008/977 JAI, qui intègre des règles à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuite, d’activités judiciaires connexes.
Toutefois ce projet ne fait pas consensus. Si certains Etats membres semblent séduits à l’idée d’adopter un texte très protecteur des libertés et populaire auprès du grand public, tous ne partagent pas cette priorité. Les enjeux sont tels que l’on peut s’attendre à un processus de décision relativement long. Ainsi ce projet ne devrait pas être adopté avant 2014 et sera mis en application 2 ans après son adoption, soit vraisemblablement en 2016.
Ces textes visent également à accroitre les pouvoirs et l’indépendance des autorités nationales de protection des données. Ainsi ces autorités, équivalent de notre Cnil dans les différents pays de l’Union, auront le même cadre juridique, les mêmes outils, les mêmes pouvoirs (plaintes, enquêtes, sanctions). L’autorité compétente sera, quel que soit le pays d’origine des données, celle dans laquelle la société a son établissement principal.
Le groupe article 29, qui réunit les autorités de protection des différents pays de l’Union, verra son rôle renforcé et deviendra le Comité européen de la protection des données, organe indépendant.
Quel impact sur les métiers du marketing direct ?
Annonceurs, prestataires, organismes professionnels… tous s’interrogent aujourd’hui sur la manière dont les dispositions relatives au marketing direct vont s’articuler dans ce nouvel environnement juridique, plus protecteur des données à caractère personnel, mais qui se révèle particulièrement complexe dans sa mise en œuvre et parfois difficilement compatible avec les impératifs du métier.
Tout d’abord, l’excès de recours, dans ce projet, à des actes délégués ou d’exécution par la commission, prévu pour 46 dispositions du règlement, crée un climat d’incertitude et une instabilité juridique rendant délicate l’application pratique des mesures concernées.
Ainsi, l’article 6 qui pose les conditions de licéité d’un traitement, présente dans sa première partie des dispositions semblables à celles de la directive de 95, autorisant notamment tout traitement nécessaire aux fins des intérêts légitimes poursuivis par un responsable de traitement. C’est une bonne nouvelle car c’est le fondement des activités de marketing direct sans consentement préalable depuis 1995. Toutefois, la dernière partie de ce même article renvoie à des actes délégués de la Commission afin de préciser les conditions de ce paragraphe. Pourquoi vouloir préciser ce point par acte délégué, et dans quel sens, alors même que depuis 1995, l’application de ce texte ne pose aucune difficulté ? Comment concilier les impératifs des sociétés du secteur, qu’elles soient utilisatrices ou prestataires, avec une telle incertitude juridique ?
L’article 19, quant à lui, pose bien le principe du droit d’opposition pour le marketing direct. Mais la formulation adoptée mériterait un éclaircissement afin d’en évaluer la portée. Le texte prévoit également le renversement de la charge de la preuve : c’est désormais au responsable de traitement de prouver qu’il opère les traitements en conformité avec le règlement. Charge difficile, appliquée au droit d’opposition : comment prouver que la personne ne s’est pas opposée à un traitement ?
Parmi les autres mesures dont la mise en œuvre s’avèrerait complexe, relevons particulièrement :
- L’introduction de l’obligation de fournir aux personnes des informations relatives à l’origine de leurs données. Largement pratiquée dans la prospection par e-mailing, elle est difficilement compatible avec le marketing direct traditionnel, fondé sur une mise à disposition de fichiers reposant sur un principe de confidentialité.
- La généralisation de l’obligation de notification des violations de sécurité, dans les 24 heures à la Cnil puis auprès des personnes concernées. Déjà introduite par l’ordonnance du 24 août 2011 pour les fournisseurs de services de communication électronique, ses effets particulièrement anxiogènes pour le public sont à redouter.
- Le droit à la portabilité des données, défini de manière large et qui pose inéluctablement des problèmes de sécurité. La délimitation précise de son champ d’application s’avère nécessaire.
- Les mesures liées au profilage, qui a priori ne concernent pas le marketing direct, mais dont la rédaction imprécise laisse à nouveau le champ libre à toute interprétation.
- Le droit à l’oubli, issu de la directive de 95, verrait sa portée considérablement élargie et serait désormais associé à un dispositif lourd, dont on peut douter qu’il soit possible à appliquer techniquement.
- De même, l’information des personnes sur la durée de conservation de leurs données n’est pas adaptée à des données dont les traitements peuvent répondre à plusieurs finalités, de durées distinctes.
- Une ambiguïté sur l’application BtoC/BtoB de ce texte, qui s’applique bien aux personnes physiques mais qui n’exclut pas clairement celles considérées à titre professionnel.
- Enfin, relevons qu’alors que ce projet dispense des formalités de notification préalable, il entrainerait finalement un net alourdissement des obligations et charges pour les responsables de traitement et leurs sous-traitants, qu’il s’agisse de documentation, de contrôle, de sécurité, d’analyse d’impact, de protection par défaut, de responsabilité ou des sanctions applicables.
Rappelons que les professionnels du Sncd, à travers les codes de déontologie et les fiches pratiques édictés par le Sncd ainsi que les chartes réalisées au sein de l’Ufmd, se sont toujours positionnés en faveur de la protection des données à caractère personnel, du respect des choix des personnes et de la plus grande transparence lors du traitement de leurs données. Le Sncd considère que la prise de conscience et l’implication des professionnels sur l’ensemble de es sujets, à travers l’autorégulation et la signature de ces codes et chartes, constitue le meilleur équilibre entre la prise en compte de leurs impératifs économiques et la garantie de protection des individus. Le Sncd s’est ainsi fortement mobilisé sur les impacts liés à ce projet.
Nathalie PHAN PLACE Secrétaire Général du SNCD
Article publié sur VAD & E-commerce nº 228 - Février/Mars 2012
