Le site web de LQDN dédiée à la protection des données personelles et au Règlement européen général sur la protection des données (RGPD). Quelques vidéos de LQDN pour expliquer les notions clés : https://www.youtube.com/playlist?list=PL2UK9Uu0GFtwjoT7JCXhWP41iIlE1PUPJ
On qualifie de donnée personnelle toute information qui, directement ou indirectement, permet d'identifier une personne physique. La loi française protège toutes les personnes physiques, qu'elles soient françaises ou pas, du moment qu'elles sont sur le sol français.
Actuellement, c'est par une *directive de 1995 que l'Union européenne protège la vie privée des européens sur Internet. Elle encadre la collecte, l'exploitation et la revente de leurs données personnellesµ. [...] Chaque État membre de l'Union européenne a transposé la directive de 1995 dans son droit national en votant de nouvelles lois. µµEn France, cela s'est fait en 2004 par une réforme de notre Loi Informatique et Libertés, qui encadre depuis 1978 l'exploitation des données personnelles des citoyens**.
Le règlement européen a été adopté en avril 2016 et entrera en vigueur en mai 2018. Objectif : uniformisation du droit dans tous les États membres (un règlement ne se transpose pas en droit national) souvent réclamée (« Dernièrement, cela a été un angle d'attaque pour les éditeurs de presse, visés par une enquête de la CNIL pour leur collecte des données des internautes, qui estiment l'interprétation française de cette directive bien plus stricte que celle des pays voisins. » source : http://www.nextinpact.com/news/99480-le-parlement-europeen-adopte-reglement-sur-donnees-personnelles-et-pnr.htm ) + actualisation pour suivre l'évolution technologique.
Le règlement s’applique dès lors que le responsable de traitement ou le sous-traitant est établi sur le territoire de l’Union européenne ou que le responsable de traitement ou le sous-traitant met en œuvre des traitements visant à fournir des biens et des services aux résidents européens ou à les « cibler » (en anglais monitor).
LQDN en retient ça (source : https://wiki.laquadrature.net/Synth%C3%A8se_du_r%C3%A8glement_sur_la_protection_des_donn%C3%A9es ) : « Le règlement s'applique également au responsable du traitement des données et au sous-traitant, non-établis dans l'Union, lorsque leurs activités de traitement concernent l'offre de biens ou de services, ou la surveillance des comportement des personnes résidant dans un pays de l'Union européenne (article 3§2). La surveillance du comportement d'un utilisateur signifie que ce dernier est « suivi » sur internet au moyen de techniques de traitement de données qui consistent au profilage d'un individu. Ce profilage est mis en place pour prendre des décisions le concernant, ou pour analyser voire prédire son ou ses préférences personnelles, son comportement et ses attitudes, sa santé, ses mouvements, sa position (considérant 24, article 4).
Consentement explicite
Le droit actuel manque de précision sur la définition du consentement que nous devons donner à une entreprise pour qu'elle puisse collecter ou exploiter nos données. La loi française parle d'un consentement exprès et informé, mais la Loi Informatique et Libertés ne parle pas de consentement, mais d'« accord ». Le sens concret de ce que recouvre ce mot n'est ni clair ni certain. Ainsi, certaines entreprises en profitent pour considérer le simple fait de visiter leur site comme l'acceptation de leurs « Conditions Générales d'Utilisation », ou autre « accord » prévoyant l'exploitation de nos données.
Le règlement général sur la protection des données prévoit que notre consentement devra être « libre, spécifique, éclairé et univoque » : Il faudra que nous exprimions clairement vouloir que nos données personnelles soient utilisées dans les conditions et pour les objectifs de traitement présentés par les entreprises (ou toute autre structure privée ou publique) dont nous utilisons les services. Une case précochée ne sera donc plus possible.
Univoque a été remplacé par « explicite » dans la version finale.
Cette nouvelle définition du consentement par le règlement est donc une nette amélioration.
Le projet prévoit par ailleurs que l'internaute puisse se rétracter aussi aisément qu'il a donné son consentement, à tout moment.
Ce que l'on nomme aussi droit à l'oubli, applicable y compris aux moteurs de recherche. Mais il y a un petit problème d'équilibre selon LQDN :
Par ailleurs, la doctrine a lourdement souligné que les plateformes hébergeant du contenu public s'exposent à de lourdes sanctions si elles n'obtempèrent pas avec les demandes de retrait, alors qu'elles ne sont pas inquiétées par le règlement en cas de suppression abusive des contenus qui leurs sont signalés.
D'une manière générale, le consentement explicite peut être détourné par…
Intérêt légitime
Le droit actuel autorise l'exploitation des données personnelles :
- lorsque la personne concernée y a consenti ;
- afin d'exécuter un contrat conclu par cette personne ;
- en cas d'urgence médicale ;
- lorsque cela est exigé par la loi ou l'intérêt public ;
- pour un intérêt historique, statistique ou scientifique ;
- dans l'exercice de la liberté d'expression ;
- lorsque cela est dans « l'intérêt légitime » d'une entreprise.
Cette autorisation à se passer du consentement lorsqu'il existe un « intérêt légitime » a pour but d'éviter que notre droit ne soit trop rigide et n'interdise certaines pratiques innovantes qui n'auraient pas été envisagées au moment de la rédaction de la loi. Hélas, cette notion est très mal définie et représente en réalité une importante faille dans l'ensemble de notre droit à la protection des données.
Lorsqu'on a affaire à un traitement mis en place pour l'intérêt légitime d'une entreprise, elle n'a pas à obtenir de consentement, donc n'a pas à se soucier de la charge de la preuve - ce qui est grave. En effet dans ces conditions il est tentant pour un professionnel de brandir l'intérêt légitime afin d alléger les procédures de préparation de preuves du consentement. Cette exception à l'obtention du consentement risque d'être exploitée à outrance, ne serait ce que pour des questions de couts procéduraux internes.
Portabilité des données
La portabilité des données correspond à la possibilité pour l'internaute de demander le transfert de ses données vers de nouveaux prestataires. La portabilité des données se fonde sur le même principe que la portabilité des numéros de téléphone, que l'on pourrait par exemple appliquer au mail ou a des services aux fonctionnalités équivalentes. Pour le mail par exemple il s'agit du transfert des correspondances et des contacts.
En France, on a eu tout pareil dans la loi pour une République numérique votée au même moment… avec les mêmes limites (qu'est-ce que ça englobe, dans quel format, la portabilité n'entraîne pas l'effacement des données, etc.).
Pour sortir des données de l'EU, on utilise toute la magouille habituelles : BCR, conventions, accords genre le Privacy Shield troué, etc :-
Sanctions
Actuellement, la CNIL, l'autorité de contrôle française, peut prononcer des amendes allant jusqu'à 150.000€ (le double en cas de récidive). En face, Google a réalisé, en 2012, un chiffre d'affaire mondial de 50 milliards de dollars, Microsoft de 73 milliards, et Apple de 156 milliards, pour citer les plus importants.
Le règlement résout cette asymétrie. Il prévoit de permettre aux autorités de contrôle de prononcer des amendes allant jusqu'à 4% du chiffre d'affaire mondial des entreprises en faute. C'est une solution idéale, car adaptée aux ressources de chaque acteur économique.
Transparence sur les fuites de données
Le droit actuel a introduit en aout 2011 une obligation de notification des failles de sécurité. Cette obligation n'est pas contraignante en cas de perte ou de compromission de données par une entreprise ou toute autre entité (exemple : université). Pour l'instant, seuls les télécoms et les fournisseurs d'accès à Internet (FAI) sont tenus de prévenir leurs utilisateurs et la CNIL en cas de fuites de données. [...]
Pour cette raison, le futur règlement européen prévoit que les entreprises auront l'obligation de prévenir l'autorité nationale (la CNIL nationale) du pays où le traitement a été touché par une fuite de données. [...]
Lorsqu’il constate une violation de données à caractère personnel, le responsable de traitement doit notifier à l’autorité de protection des données la violation dans les 72 heures. L’information des personnes concernées est requise si cette violation est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne.
Droits
Le futur règlement prévoit d'étendre sensiblement vos droits.
D'abord, le droit d'information portera désormais aussi sur la durée de conservation des données et sur leur éventuel transfert en dehors de l'Union européenne. De plus, les données obtenues auprès de tiers devront aussi indiquer l'identité de ces tiers.
Ensuite, vous pourrez aussi demander la suppression de vos données [...] Néanmoins, par dérogation, votre droit de suppression pourra être écarté lorsque prévaudra la liberté d'expression, une raison médicale, scientifique ou historique suffisante ou lorsque le respect d'une obligation légale l'imposera.
Obligations pour les responsables de traitement
Alors que la directive de 1995 reposait en grande partie sur la notion de « formalités préalables » (déclaration, autorisations), le règlement européen repose sur une logique de conformité, dont les acteurs sont responsables, sous le contrôle et avec l’accompagnement du régulateur.
La conséquence de cette responsabilisation des acteurs est la suppression des obligations déclaratives dès lors que les traitements ne constituent pas un risque pour la vie privée des personnes. Quant aux traitements soumis actuellement à autorisation, le régime d’autorisation pourra être maintenu par le droit national (par exemple en matière de santé) ou sera remplacé par une nouvelle procédure centrée sur l’étude d’impact sur la vie privée.
Là où le droit européen ira plus loin grâce au règlement, c'est en matière de responsabilisation des acteur économiques. En effet, l'article 22 du règlement leur imposera de prendre les mesures nécessaires pour honorer leurs obligations légales, et d'indiquer à partir de quand ils seront en règle avec le règlement. C'est ce que l'on appelle le principe d'« accountability », c'est à dire le principe de responsabilité.
De plus, l'article 23 du règlement met en place un nouveau principe au service de la protection des internautes, le principe de protection par design et par défaut. Ce principe exige des acteurs du numérique que les règles de protection des internautes soient intégrées par principe dans tous les biens et services numériques mis à leur disposition. Ainsi, si l'utilisateur souhaite changer ses paramètres de confidentialité, cela ne pourra être que pour les baisser puisqu'ils assurerons par défaut un maximum de protection.
Par ailleurs, alors que le droit de la protection des données actuel concerne essentiellement les « responsables de traitements », c’est-à-dire les organismes qui déterminent les finalités et les modalités de traitement de données personnelles, le projet de règlement étend aux sous-traitants une large partie des obligations imposées aux responsables de traitement.
Définition : prédiction des comportements, des choix qui permet aux responsables des traitement de données persos de s'adapter (pub ciblée, renseignement & surveillance étatique)
On retrouve un des principes que l'on a dans notre loi de 78 : « tout processus décisionnel le concernant ne soit pas uniquement automatisé, y compris en cas de profilage, lorsque ce processus a des effets légaux, ou des effets « similaires qui l'affectent significativement ». »
Le règlement est très léger : le profilage est légitime si nécessaire à la rélisation d'un contrat (ou si la loi le prévoit ou si il y a consentement), l'interdiction de discrimination basée sur des données sensibles a disparue, la personne qui fait l'objet du profilage ne sera pas informé de la logique de ce profilage, de comment les décisions sont prises, etc.
Même chose pour le profilage étatique :
La position de la Quadrature du Net est alignée sur celle d'EDRi à ce sujet : la mention de l'article 22 dans l'article 23 doit absolument être retirée ou censurée. Cette mention donne un chèque en blanc aux Etats pour faire du profilage. Cela signifie que tout Etat membre pourrait utiliser une de ces justifications pour profiler des individus sur la base de leurs origines, de leur santé, de leurs attirances sexuelles, de leur position politique, etc. D'autant que comme vu plus haut, le Règlement n'interdit pas (ou plutôt plus) la génération de données sensibles (art. 9) par le traitement de données personnelles non sensibles.
Des conditions particulières pour le traitement des données des enfants : Pour la première fois, la législation européenne comporte des dispositions spécifiques pour les mineurs de moins de 16 ans. L’information sur les traitements de données les concernant doit être rédigée en des termes clairs et simples, que l'enfant peut aisément comprendre. Le consentement doit être recueilli auprès du titulaire de l’autorité parentale. Les États membres peuvent abaisser cet âge par la loi, sans toutefois qu’il puisse être inférieur à 13 ans. Devenu adulte, le consentement donné sur un traitement doit pouvoir être retiré et les données effacées.
Introduction du principe des actions collectives : Tout comme pour la législation relative à la protection des consommateurs, les associations actives dans le domaine de la protection des droits et libertés des personnes en matière de protection des données auront la possibilité d’introduire des recours collectifs en matière de protection des données personnelles. Un droit à réparation des dommages matériel ou moral : Toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.
Je retiens :
Sources (en plus du site pointé par ce shaarli) :