RGPD : existe-t-il un modèle européen de protection des données personnelles ? 

NB : Ce billet est l’un des premiers de la série des billets réalisés par les étudiants en 2019. Les commentaires à la suite du billet sont ouverts à tous, et plus spécifiquement aux étudiants de l’EBSI et de la HEG qui suivent ce cours.

La naissance du RGPD

Au cours des dernières années, l’apparition d’Internet ainsi que ses innovations continues ont pris une place significative dans la vie quotidienne de ses utilisateurs. Le web est devenu un outil important tant pour les acteurs privés que pour les entreprises. Citons à ce stade le développement rapide de plateformes d’e-commerce. L’utilisation du web par les entreprises et les usagers donne naissance à une nouvelle économie dans laquelle l’information et les données ont un rôle essentiel. À travers le commerce en ligne, les entreprises du web « traquent » les consommateurs pour offrir des prestations toujours plus ciblées et personnalisées. Les données personnelles constituent désormais un enjeu important pour certaines entreprises pour lesquelles l’exploitation de données génère d’importantes sources de revenu. Google par exemple, vit de la publicité (99% de ses revenus) grâce au traitement des données des usagers. 

 

 

Mais qu’est-ce qu’une donnée personnelle ? C’est toute information qui permet d’identifier directement ou indirectement une personne (son nom, son adresse, son activité sur internet, etc.).

    

 

 

 

source: https://lespiesbavardes.com

Récemment, la vente de données privées sans le consentement des usagers concernés par Facebook à Cambridge Analytica en 2018 illustre l’importance de la protection des données personnelles et leurs potentielles utilisations abusives.

La France, en 1978, a été l’un des premiers pays à introduire sur son territoire la loi no 78-17 sur la protection des données personnelles par la Commission nationale de l’informatique et des libertés (CNIL). Elle a été modifiée en 2004. Puis, en 2012, la Commission européenne a entamé des négociations concernant la directive sur la protection des données personnelles. En effet, estimant nécessaire d’éclaircir et d’améliorer la loi existant afin de l’adapter aux innovations continues du secteur numérique, le RGPD (règlement général sur la protection des données) a été adopté en 2016 par le Parlement européen, puis est entré en vigueur le 16 mai 2016.  Deux ans de « flottement » ont été nécessaires pour permettre aux entreprises de se mettre aux normes du nouveau règlement. Depuis le 25 mai 2018, le RGPD est mis en application dans les vingt huit États membres de l’Union Européenne.

Les principes/intérêts de la loi

Le but du règlement est de renforcer le droit des citoyens sur le contrôle de leurs données personnelles (le consentement, le droit à l’oubli, le profilage, etc.), et de favoriser les acteurs responsables. Le RGPD se consacre aux traitements des données personnelles des entreprises et des administrations, et aux sanctions financières allant jusqu’à 4 % du chiffre d’affaires global annuel d’une entreprise

 

Le règlement regroupe à la fois un aspect juridique, comme nous l’avons énoncé plus haut, mais aussi un aspect technique. En effet, les entreprises doivent mettre en place des outils de traitement des données. Cette situation engendre de fait une charge de travail supplémentaire et peut conduire à terme à la création de nouveaux postes liés au traitement et au respect des données des usagers.

 

 

 

 

 

 

Source : https://www.amabis.com 

En retour, l’application du RGPD offre aux entreprises la possibilité de créer et développer une confiance mutuelle avec leurs clients en garantissant un niveau de responsabilité et d’efficacité dans le traitement de leurs données personnelles. Ce “label” RGPD peut potentiellement permettre aux entreprises engagées d’augmenter leurs ventes et leur performance à terme. 

Tandis que le RGPD est mis en application, d’autres pays ont commencé à travailler sur leurs propres lois de protection des données en les alignant sur les exigences du RGPD. En Suisse, la loi fédérale sur la protection des données (LPD) est en cours de révision au sein du Conseil National. Aux États-Unis, la plupart des États ont mis en place une législation sur la protection des données privées, notamment la Californie. En Asie, plusieurs pays comme la Chine, la Corée du Sud ou l’Inde adoptent eux aussi des lois dans l’idée de le protection des données.

Source : https://www.cg-graphisme.fr/2018/05/03/le-rgpd-vous-connaissez/

L’impact du règlement sur les entreprises à l’extérieur de l’Union européenne 

L’adoption du RGPD a eu un impact sur les entreprises à travers le monde. En effet, les entreprises situées en dehors de l’Union Européenne manipulant les données de citoyens européens sont elles aussi soumises au RGPD. Le règlement prévoit des exigences élevées concernant la protection des données personnelles des européens et si les entreprises hors UE ne les respectent pas, elles s’exposent à des amendes significatives. Les réactions variables consécutives à l’adoption du règlement ont été très importantes, surtout aux États-Unis. De fait, 38% des compagnies n’étaient pas en conformité au règlement en juin 2018. Pour éviter de lourdes conséquences, plusieurs sites internet du Canada ou des États-Unis ne sont plus consultables depuis l’Europe. Les entreprises américaines ont elles aussi mis en ligne des versions allégées de leurs sites web sans tags ni cookies afin de contourner la nouvelle législation. Au Québec, les réactions face au RGPD sont plus mitigées. Si certaines compagnies ne se sentent pas touchées par ce changement, d’autres considèrent cette législation comme une inspiration en matière de protection des données personnelles.

Cette loi force donc, d’une certaine manière, ces entreprises à réfléchir la manière dont elles gèrent les données personnelles des utilisateurs afin de décider s’il est dans leur intérêt de se conformer aux exigences européennes.

Source : https://www.search-foresight.com/reactions-variables-aux-usa-face-au-rgpd/

L’adoption de la loi a aussi influencé plusieurs autres projets de loi notamment en Californie où le CCPA (California Consumer Privacy Act) a été voté en septembre 2018 et qui sera effectif dès janvier 2020. La réglementation européenne a aussi un impact important sur les entreprises québécoises. De fait, pour aider les compagnies du Québec à comprendre les implications d’une telle législation, le gouvernement du Québec a mis en ligne une fiche explicative sur son site web présentant les enjeux, l’application et les conséquences liés à l’adoption de loi. Malgré les aspects positifs pour les individus de l’adoption de cette législation, les experts internationaux critiquent le côté contraignant de la loi car ils pensent que ces nouvelles normes peuvent avoir un effet sur le développement de l’intelligence artificielle. 

Que s’est-il passé depuis la mise en application du RGPD ?

Depuis son entrée en vigueur, on a recensé de nombreuses plaintes à l’encontre d’entreprises ne respectant pas la protection des données de leurs clients. Des amendes records ont été enregistrées depuis l’entrée en vigueur du règlement. Par exemple, British Airways doit payer une amende d’une valeur de 227 millions de francs suisses pour ne pas avoir assez sécurisé les données de ses clients suite au piratage de 500’000 données en 2018. Google a aussi été condamné cette année à une amende de plus de 50 millions d’euros par la CNIL car la société n’a pas respecté le nouveau règlement. D’autres procédures sont en cours dans différents pays de la zone européenne. Au total plus de 144’000 plaintes ont été lancées auprès de vingt huit autorités de contrôles européens. Ces sanctions envoient un signal et se veulent symboliques pour toutes entreprises ne respectant pas le règlement. À l’échelle internationale, le règlement montre aux autres pays qu’il est efficace et qu’il est facile d’application. L’Union veut démontrer par la loi que l’on peut faire « plier » les grandes entreprises brassant des revenus conséquents grâce à l’exploitation de données personnelles. De plus, l’Union Européenne invite par l’exemple les autres pays à faire de même ou du moins à adopter un règlement équivalent.

Conclusion

L’adoption du règlement général sur la protection des données a permis de mieux encadrer les entreprises sur la collecte, le traitement et l’utilisation des données personnelles des citoyens européens. Son implantation a forcé les entreprises à se conformer à des exigences qui, si elles ne sont pas respectées, peuvent mener à de lourdes amendes. Les entreprises hors Union Européenne sont aussi soumises à ces exigences même si elles ne sont pas physiquement et/ou légalement sur le territoire. L’implantation du RGPD a changé radicalement la conception des entreprises face à la gestion et la protection des données personnelles de leurs usagers. La loi a forcé les entreprises à réfléchir à leur rôle dans la gestion des données personnelles et aux actions qu’elles peuvent mettre en place pour informer les usagers et assurer la protection des renseignements possédés. Mais le règlement a aussi des détracteurs. Ces détracteurs affirment que ce règlement serait un frein aux innovations ayant recours à la collecte d’information. Elle laisserait le champs libre aux Etats-Unis et à la Chine en matière de production de données. Un autre problème que le règlement ne peut pas prévenir est que les entreprises peuvent profiter du fait que les usagers “zappent” les messages d’informations préalables à l’utilisation d’un site internet et obtiennent “légalement” leurs signatures ou mettent en place un ensemble d’outils empêchant de fait de refuser des cookies.

Source:  https://www.newyorker.com

 

Malgré ces failles, plusieurs autres projets de loi sont votés depuis l’entrée en vigueur du règlement ce qui démontre qu’à sa manière, le RGPD a servi de modèle en matière de gestion de l’information et des données personnelles. 


Billet de blog écrit par Ngân Lê (HEG), Francine-Leila Nginamau (HEG) et Karine Massé (EBSI)

 


Vous aimerez aussi...

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.