Archives par mot-clé : RGPD

Traque anonyme par des cookies publicitaires : l’Europe harmonise l’information aux internautes

Publié le par

Tandis que les navigateurs web Google, Safari, Firefox ou Edge ont proscrit les cookies publicitaires, les sites web continuent le suivi à la trace des internautes mais de façon anonyme, pour peu que ces derniers y aient consentis. Encore faut-il qu’ils soient bien informés avant de décider.

Pour le commissaire européen Didier Reynders (photo), en charge de la Justice (protection des consommateurs comprise), c’est l’aboutissement de longs mois de réflexion, avec les professionnels concernés, sur la manière de mieux informer les consommateurs avant de choisir s’ils acceptent – ou pas – d’être suivis à la trace lors de leur navigation sur Internet. Même si l’année 2024 annonce la fin généralisée des cookies publicitaires, les internautes ont la possibilité de consentir à livrer des données anonymes les concernant à des fins publicitaires. L’Union européenne (UE) veut harmoniser les conditions d’informations des consommateurs du Net avant de donner ou pas leur accord.

Des principes finalisés en janvier 2024
Continuer à être « tracké » ou pas ? Telle est la question. Avant de donner leur consentement individuel à chaque fois qu’ils se rendent sur un site web ou une application, les internautes européens – au nombre de 404 millions dans l’UE (1) – doivent être mieux informés. C’est l’objectif de la « réflexion sur la façon de mieux habiliter les consommateurs à faire des choix efficaces concernant les modèles de publicité basée sur le suivi » initiée il y a près d’un an par la Commission européenne et intitulée « Cookie Pledge » – en français, « Engagement en matière de cookies »).
Ce sont des principes qui devront être appliqués et respectés dans les Vingt-sept par l’écosystème du Net composé des éditeurs de sites web (ou d’applications mobiles) et des annonceurs publicitaires. Ces engagements complèteront les obligations imposées par la directive « ePrivacy » (2) et le règlement général européen sur la protection des données (RGPD), sous peine de sanctions financières infligées par les « Cnil » européennes (3). Ces principes doivent être « peaufinés » en janvier 2024 en vue de présenter une « version finale » lors du Sommet des consommateurs (European Consumer Summit) prévu à Bruxelles le 28 mars prochain (soit après la Journée mondiale des droits des consommateurs, organisée par l’ONU le 15 mars).
« La prochaine étape pour les parties prenantes, précise-t-on à Bruxelles, est de discuter de ces principes et de réfléchir à la possibilité de les adopter volontairement ». Le Comité européen de la protection des données (CEPD), lui, a déjà été consulté et donné son avis le 19 décembre dernier sur la conformité de ces principes (4). Le projet des « principes d’engagement volontaire des entreprises » vise à « simplifier la gestion par les consommateurs des cookies et des choix publicitaires personnalisés ». Ce document de travail de deux pages – intitulé « Draft Pledging Principles » (5) – pose huit principes que devront adopter les acteurs du Net qui sollicitent le consentement des internautes :
• La demande de consentement ne contiendra pas d’informations sur les cookies dits essentiels ni de référence à la collecte de données basée sur un intérêt légitime. Comme les cookies essentiels [strictement nécessaires au fonctionnement du site web ou de l’application, sur l’identification sur celui-ci ou celle-ci, ou sur le panier d’achat du consommateur, ndlr] ne nécessitent pas de consentement, le fait de ne pas afficher d’informations à leur sujet dans le cadre de la demande de consentement réduira les informations que les utilisateurs doivent lire et comprendre. En outre, l’intérêt légitime n’étant pas un motif pour le traitement des données basé sur l’article 5 de la directive « e-Privacy », ils ne devraient donc pas être inclus dans la bannière des cookies. La question du traitement ultérieur des données fondé sur l’intérêt légitime devrait être expliquée dans des couches [ou niveau] supplémentaires.
• Lorsque le contenu est financé au moins partiellement par la publicité, il sera expliqué à l’avance lorsque les utilisateurs accèdent au site web ou à l’application pour la première fois. A partir du moment où une entreprise génère des revenus, soit en exposant les consommateurs au suivi publicitaire basé sur la collecte et l’utilisation d’informations sur le comportement en ligne des consommateurs via des trackers, soit en vendant à des partenaires le droit de mettre des trackers sur les appareils des consommateurs via leur site web [ou application], les consommateurs doivent être informés du modèle économique en question au moins en même temps que lorsque le consentement aux cookies est requis. Demander aux consommateurs de lire des bannières complexes de cookies et seulement après qu’ils n’aient pas consenti, les exposant à un ultimatum « payer ou quitter », pourrait être considéré comme une manipulation.

Option « publicité moins intrusive »
• Chaque modèle économique sera présenté de façon succincte, claire et facile à choisir. Cela inclura des explications claires sur les conséquences de l’acceptation ou du refus des trackers. La plupart des cookies sont utilisés pour mettre en œuvre un modèle économique et cette concomitance devrait donc être facilement décrite, comprise et mise en œuvre dans un panneau conjoint regroupant les accords en vertu du droit des consommateurs et le consentement en vertu de la loi (e-Privacy/ RGPD). Dans ce panneau, les options du modèle économique (c’est-à-dire « accepter de la publicité basée sur le suivi », « accepter d’autres types de publicité » ou « accepter de payer des frais ») seront présentées avec les conséquences en termes de proposition de trackers, et ce en langage simple et simple.

Lutter contre « la fatigue des cookies »
• S’il est proposé de faire un suivi de la publicité ou de payer des frais, les consommateurs auront toujours le choix entre une autre forme de publicité moins intrusive. Compte tenu du nombre extrêmement limité de consommateurs qui acceptent de payer pour du contenu en ligne de différentes sortes, et du fait que les consommateurs peuvent naviguer quotidiennement sur des dizaines de sites web différents, le fait de demander aux consommateurs de payer ne semble pas une solution de rechange crédible au suivi de leur comportement en ligne à des fins publicitaires qui exigeraient légalement d’obtenir leur consentement.
• Le consentement aux cookies à des fins publicitaires ne devrait pas être nécessaire pour chaque tracker. Pour ceux qui sont intéressés, dans une deuxième couche [ou niveau], plus d’informations sur les types de cookies utilisés à des fins publicitaires devraient être données, avec une possibilité de faire une sélection plus fine. Lorsque les utilisateurs acceptent de recevoir de la publicité, il convient de leur expliquer en même temps comment cela est effectué et en particulier si des cookies, y compris des cookies tiers pertinents, sont placés sur leur appareil. Il ne devrait pas être nécessaire pour eux de vérifier chaque tracker. En effet, cela peut revenir à vérifier un à deux mille partenaires différents, rendant le choix totalement inefficace soit en donnant une illusion de choix, soit en décourageant les gens de lire plus loin, les conduisant à appuyer sur les boutons « accepter tout » ou « refuser tout ». Ce principe devrait être sans préjudice de règles plus strictes dans d’autres législations sectorielles, telles que la DMA [Digital Markets Act].
• Pas de consentement séparé nécessaire pour les cookies utilisés pour gérer le modèle publicitaire sélectionné par le consommateur (par exemple, les cookies pour mesurer la performance d’une annonce spécifique ou pour effectuer de la publicité contextuelle) car les consommateurs ont déjà exprimé leur choix à l’un des modèles économiques. L’une des raisons de la fatigue des cookies est que tous les types de cookies sont très souvent décrits de manière longue et plutôt technique, ce qui rend un choix éclairé complexe et lourd et de facto inefficace. Par ailleurs, dès lors que le modèle économique est précisé et accepté par le consommateur, la nécessité pour les entreprises de mesurer la performance de leurs services publicitaires ou de prévenir la fraude peut être considérée comme inextricablement liée au modèle économique de la publicité, auquel le consommateur a consenti. Les autres cookies qui ne sont pas strictement nécessaires à la fourniture du service publicitaire spécifique devraient encore nécessiter un consentement séparé.
• Le consommateur ne doit pas être invité à accepter les cookies dans un délai d’un an à compter de la dernière demande. Le cookie pour enregistrer le refus du consommateur est nécessaire pour respecter son choix. Une raison majeure de la fatigue des cookies, particulièrement ressentie par les personnes les plus intéressées par leur vie privée, est que les choix négatifs ne sont pas enregistrés et doivent être répétés chaque fois qu’ils visitent un site web ou même chaque page d’un site web. L’enregistrement de ce choix est indispensable pour une gestion efficace d’un site web et pour le respect des choix des consommateurs. De plus, afin de réduire la lassitude à l’égard des trackers, un délai raisonnable, par exemple un an, devrait être adopté avant de demander de nouveau le consentement des consommateurs.
• Les signaux provenant d’applications offrant aux consommateurs la possibilité d’enregistrer à l’avance leurs préférences en matière de cookies avec au moins les mêmes principes que ceux décrits ci-dessus seront acceptés. Les consommateurs devraient avoir leur mot à dire s’ils décident de refuser systématiquement certains types de modèles publicitaires. Ils devraient être habilités à le faire et la législation sur la protection de la vie privée et des données ne devrait pas être utilisée comme argument contre un tel choix, à condition que le choix automatisé ait été fait consciemment.

GAFAM, TikTok et organisations pro
Pour parvenir à ce projet de principes d’« engagement volontaire » des professionnels de l’écosystème « trackers/publicité ciblée » (6), le commissaire européen Didier Reynders a réuni autour de la table les GAFAM (Google/Alphabet, Apple, Facebook/Meta, Amazon, Microsoft), ainsi que TikTok. Des organisations professionnelles ont aussi travaillé au sein de trois groupes de travail : IAB Europe, European Publishers Council (EPC), Bureau européen des unions de consommateurs (Beuc), Federation of European Data & Marketing (Fedma), European Interactive Digital Advertising Alliance (EEDA), German Brand Association (Markenverband). Ils se sont mis à la place des consommateurs confrontés chaque jour aux différentes bannières et autres bandeaux ou panneaux sollicitant constamment leur consentement. @

Charles de Laubier

Abonnements payants de Facebook et Instagram en Europe : Meta se heurte aux exigences du RGPD

Publié le par

Pour Instagram ou Facebook sans publicités, il en coûte désormais aux Européens 9,99 euros par mois sur le Web et même 12,99 euros sur application mobile. C’est cher payé pour ne plus être ciblé dans sa vie privée. Et le consentement « libre » des utilisateurs exigé par le RGPD est-il respecté ?

L’anonymat sur les réseaux sociaux n’existe pas, seule est pratiquée la pseudonymisation

Publié le par
A part pour certains geeks utilisant Tor, l’anonymat sur Internet n’existe quasiment pas – contrairement à une idée répandue. L’identification d’un internaute utilisant un pseudonyme se fait par son adresse IP et peut être ordonnée par un juge sur « réquisition judiciaire ». « L’anonymat sur les réseaux sociaux n’est plus une protection face à la justice », a lancé le procureur de la République de Créteil, Stéphane Hardouin, le 6 juillet dernier sur son compte professionnel LinkedIn, en montrant son communiqué expédié le même jour (1). Il annonce qu’un jeune homme âgé de 19 ans, ayant relayé de façon anonyme sur Twitter – après la mort de Nahel tué à bout portant par un policier le 27 juin 2023 à Nanterre et ayant suscité une forte émotion – un appel à attaquer le centre commercial « Créteil Soleil » et le tribunal judiciaire de Créteil, a été identifié avec l’aide de Twitter. Twitter, Snapchat, Instagram, TikTok, … Présumé innocent, il encourt en cas de culpabilité jusqu’à cinq ans de prison d’emprisonnement et 45.000 euros d’amendes. Son anonymat a été levé par Twitter sur réquisition judiciaire adressée le 1er juillet au réseau social à l’oiseau bleu. Accusé de « provocation publique et directe non suivie d’effet à commettre un crime ou un délit et complicité de dégradation ou détérioration d’un bien appartenant à autrui », le garçon majeur – domicilié dans le Val-de-Marne – a été interpellé le 6 juillet et placé en garde à vue au commissariat de Créteil. Après son tweet, il se trouve que le centre commercial « Créteil Soleil » était pris d’assaut le 30 juin (21 individus interpelés), puis dans la nuit du 2 au 3 juillet des barricades faites de poubelles était incendiées et des mortiers était tirés aux abords du tribunal judiciaire de Créteil. Son message a été repéré par Pharos, la « plateforme d’harmonisation, d’analyse, de recoupement et d’orientation des signalements » de l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC), au sein de la Police judiciaire. Pour la réquisition judiciaire adressée à Twitter, le procureur de Créteil, Stéphane Hardouin, fait référence dans son communiqué à la circulaire du garde des sceaux datée du 30 juin et signée par Eric Dupond-Moretti (photo), qui appelle notamment à « une réponse pénale ferme ». Le ministre de la Justice pointe notamment l’anonymat sur les réseaux sociaux qui peut être levé par un juge : « Il apparaît que de nombreuses exactions sont commises après avoir été coordonnées via les systèmes de diffusion de messages sur certains réseaux sociaux dits OTT pour “opérateurs de contournement” (Snapchat notamment). Il doit être rappelé que depuis l’entrée en vigueur de l’ordonnance n°2021-650 du 25 mai 2021, les OTT sont considérés comme des opérateurs de communication électronique (…), au sens de l’article L.32 du code des postes et des communications électroniques (CPCE). Dès lors, ils sont tenus de répondre aux réquisitions judiciaires, car relevant des mêmes obligations que les opérateurs téléphoniques. Ils peuvent ainsi être requis au visa de l’urgence pour assurer une réponse rapide sur les éléments de nature à permettre d’identifier les auteurs de ces messages ». Dans la circulaire « Traitement judiciaire des violences urbaines » de quatre pages (2), émise par la Direction des affaires criminelles et des grâces à l’attention des procureurs et des présidents des tribunaux, le garde des sceaux leur demande de « veiller à retenir la qualification pénale adaptée aux faits perpétrés dans ce contexte et à procéder à une évaluation rapide et globale de la situation de manière à pouvoir apporter une réponse pénale ferme, systématique et rapide aux faits le justifiant ». Et d’ajouter : « Pour les mis en cause majeurs, la voie du défèrement aux fins de comparution immédiate ou à délai différé, ou le cas échéant, de comparution sur reconnaissance préalable de culpabilité, sera privilégiée pour répondre aux faits les plus graves ». Eric Dupond- Moretti a rappelé en outre que « les infractions commises par les mineurs engagent, en principe, la responsabilité civile de leurs parents ». Que cela soit dans la vraie vie ou sur les réseaux sociaux, nul n’est censé échapper aux sanctions pénales si la justice juge coupable l’individu ou l’internaute interpellé. Pseudonymisation et démocratie vont de pair Dans son rapport annuel 2022 – publié le 27 septembre – sur « les réseaux sociaux : enjeux et opportunités pour la puissance publique » (3), le Conseil d’Etat a estimé que « les réseaux sociaux engendrent une désinhibition, souvent aggravée par l’anonymat, qui ouvre la voie à de nombreux actes malveillants ». Faut-il pour autant interdire l’utilisation de pseudonymes sur les réseaux sociaux ? Les sages du Palais-Royal se sont dits très réservés sur la suppression de l’anonymat qui n’est autre que de la pseudonymisation : « La possibilité de s’exprimer sous un autre nom que le sien, qui a toujours été admise dans la vie réelle, est, comme l’a d’ailleurs rappelé par exemple la Cnil (4), “une condition essentielle du fonctionnement des sociétés démocratiques” qui permet “l’exercice de plusieurs libertés fondamentales essentielles, en particulier la liberté d’information et le droit à la vie privée”. Elle peut faciliter la prise de parole de personnes qui craignent la discrimination ou souhaitent contester les positions acquises ». L’anonymat du Net est toute relative Le Conseil d’Etat estime en outre que « la suppression de l’anonymat, qui n’a été adoptée par aucune démocratie occidentale et n’est pas envisagée au sein de l’Union européenne, ne paraît pas constituer une solution raisonnable conforme à notre cadre juridique le plus fondamental ». Et contrairement aux détracteurs d’Internet et des réseaux sociaux, l’anonymat sur Internet n’existe pas en général. « Cette forme d’anonymat n’est que relative. Il est en effet relativement facile, en cas de nécessité, d’identifier une personne compte tenu des nombreuses traces numériques qu’elle laisse (adresse IP, données de géolocalisation, etc.). La LCEN [loi de 2004 pour la confiance dans l’écono-mie numérique, ndlr] prévoit l’obligation de fournir à la justice les adresses IP authentifiantes des auteurs de message haineux et plusieurs dispositifs normatifs, dont la directive dite “Police-Justice”, obligent les opérateurs à conserver de telles données : en pra-tique, les opérateurs répondent généralement sans difficulté aux réquisitions judiciaires pour communiquer l’adresse IP. Les obstacles rencontrés existent mais apparaissent finalement assez limités : la possibilité de s’exprimer sur Internet sans laisser aucune trace paraît donc à ce jour réservée aux “geeks” les plus aguerris [utilisant notamment le navigateur Tor garantissant l’anonymat de ses utilisateurs, ndlr] ». La pseudonymisation, comme le définit d’ailleurs l’article 4 paragraphe 5 du règlement général européen sur la protection des données (RGPD), est un traitement de données personnelles réalisé de manière à ce que l’on ne puisse plus attribuer les données à une personne physique identifiée sans information supplémentaire. « En pratique, rappellent les sages du Palais-Royal, la pseudonymisation consiste à remplacer les données directement identifiantes (nom, prénoms, etc.) d’un jeu de données par des données indirectement identifiantes (alias, numéro séquentiel, etc.). La pseudonymisation permet ainsi de traiter les données d’individus sans pouvoir identifier ceux-ci de façon directe. Contrairement à l’anonymisation, la pseudonymisation est une opération réversible : il est possible de retrouver l’identité d’une personne si l’on dispose d’informations supplémentaires ». Sans remettre en cause l’anonymat de l’expression, le Conseil d’Etat propose notamment la généralisation du recours aux solutions d’identité numérique et aux tiers de confiance. Et ce, notamment pour mieux protéger les mineurs, vérifier la majorité numérique – laquelle vient d’être fixée en France à 15 ans (5) – et de garantir la fiabilité des échanges sur les réseaux sociaux. La Cnil, présidée par Marie-Laure Denis (photo ci-contre), veut préserver l’anonymat. Y compris lorsque les sites pornographiques vérifient l’âge de leurs utilisateurs, sous le contrôle de l’Arcom. Pour cela, la Cnil préconise depuis juin 2021 le mécanisme de « double anonymat » (6) préféré à la carte d’identité. Ce mécanisme empêche, d’une part, le tiers de confiance d’identifier le site ou l’application de contenus pornographiques à l’origine d’une demande de vérification et, d’autre part, l’éditeur du site ou de l’application en question d’avoir accès aux données susceptibles d’identifier l’utilisateur (7). Quant au contrôle parental, il sera activé par défaut en France sur tous les terminaux à partir du 13 juillet 2024, selon le décret « Renforcer le contrôle parental sur les moyens d’accès à Internet » du 11 juillet paru 13 juillet (8). « Couper les réseaux sociaux » (Macron) « Quand les choses s’emballent pour un moment, [on peut] se dire : on se met peut-être en situation de les réguler ou de les couper », a lancé Emmanuel Macron de l’Elysée, le 4 juillet dernier, devant un parterre de 300 maires de communes touchées par les émeutes déclenchées par le meurtre du jeune Nahel. Face au tollé provoqué par ce propos digne d’un régime autoritaire à la Corée du Nord, à l’Iran ou à la Chine, le porte-parole du gouvernement Olivier Véran a dû rétropédaler en ne parlant plus que de « suspensions de fonctionnalités » comme la géolocalisation. Si couper les réseaux sociaux est faisable techniquement, avec l’aide des fournisseurs d’accès à Internet (FAI), la décision de le faire risque d’être illégale au regard des libertés fondamentales qui fondent une démocratie. @

Charles de Laubier

Commission européenne : Margrethe Vestager part

Publié le par
En fait. Le 20 juillet, cela a fait un mois que Margrethe Vestager, la commissaire européenne chargée de la concurrence depuis 2014 ainsi que du numérique depuis 2019, a annoncé sa candidature à la présidence de la Banque européenne d’investissement (BEI), laquelle dévoilera les candidats en août. En clair. Pour la Commission « von der Leyen », c’est le début de la fin. Son mandat a débuté en décembre 2019, succédant à la Commission « Juncker » (1), et se terminera en novembre 2024. Margrethe Vestager, troisième vice-présidente de la Commission européenne « pour une Europe préparée à l’ère numérique » et en charge de la concurrence depuis novembre 2014, a lancé le compte à rebours. Cela fait un mois qu’un mercato se prépare à Bruxelles, depuis que la Danoise (55 ans) a annoncé le 20 juin qu’elle se portait candidate à la présidence de la BEI. « Je suis heureuse que le gouvernement danois ait proposé mon nom comme candidate possible au poste de président de la Banque européenne d’investissement », a-t-elle déclaré. Le conseil d’administration de la BEI fera connaître en août la liste des candidats à sa présidence, et Margrethe Vestager devra officiellement quitter ses fonctions et se mettre en congé sans solde, d’après Euractiv. La dame « antitrust » de Bruxelles aura marqué pendant près de dix ans l’exécutif européen en tenant tête aux GAFAM, en infligeant notamment des amendes records. Google a ainsi écopé de trois sanctions financières de la part de la Commission européenne, entre 2017 et 2019 pour un total de plus de 8 milliards d’euros (2). Dernier grief en date envers de la filiale d’Alphabet : le 14 juin dernier, la Commission européenne l’accuse d’abuser, depuis au moins 2014, de ses positions dominantes dans la publicité en ligne (3). Margrethe Vestager a même brandi la menace du démantèlement (4). Apple est aussi dans le collimateur. Amazon et Facebook, eux, ont été épinglés pour violation du RGPD. Margrethe Vestager va passer le flambeau de la puissante direction générale de la concurrence (DG COMP) que dirige Olivier Guersent. D’après des spéculations, le Français Thierry Breton ne serait pas candidat à la succession de Margrethe Vestager mais se verrait bien à la concurrence lors du prochain mandat 2024-2029 de la Commission européenne. Ce jeu de chaises musicales s’annonce au moment où Bruxelles est au coeur d’une polémique autour de la nomination de l’Américaine Fiona Scott Morton comme économiste en chef de la DG COMP justement. Ce devait être à partir du 1er septembre (5). Margrethe Vestager a été auditionnée au Parlement européen le 18 juillet, annonçant « avec regret » le désistement de la professeure d’économie qui officie à la Yale SOM. @

Protection des données : après 5 ans de mise à l’épreuve du RGPD, son réexamen sera le bienvenu

Publié le par
En attendant le réexamen en 2024 du règlement sur la protection des données (RGPD), les entreprises peinent à remplir certaines de leurs obligations, comme celle de transparence envers les utilisateurs, et doivent faire face au détournement du droit d’accès aux données et à la déferlante de l’IA. Par Sandra Tubert, avocate associée, Algo Avocats Entré en application le 25 mai 2018, deux ans après son entrée en vigueur afin de laisser aux entreprises le temps nécessaire pour se mettre en conformité, le règlement européen sur la protection des données (RGPD) affichait des objectifs ambitieux (1). La couverture médiatique dont il a fait l’objet a permis de sensibiliser les Européens à la protection de leurs données à caractère personnel, mais également au RGPD de s’imposer comme une référence pour les Etats étrangers ayant adopté une loi similaire. Pour autant, avec un recul d’un peu plus de cinq ans, le RGPD peine à remplir pleinement certains des objectifs fixés. Internautes concernées mieux informés Dans la lignée de la directive « Protection des données personnelles » de 1995 qui l’a précédée (2), le RGPD n’a pas choisi la voie de la patrimonialisation des données à caractère personnel. Le législateur européen n’a en effet pas créé de droit à la propriété sur les données à caractère personnel, mais s’est plutôt orienté vers une approche de protection des données permettant aux personnes concernées d’avoir une certaine maîtrise de l’utilisation faite de leurs données à caractère personnel. Deux objectifs principaux ont été associés à cette approche : renforcer la transparence sur les traitements réalisés et fournir des droits supplémentaires aux personnes concernées. C’est ainsi que le RGPD est venu renforcer l’obligation faite aux responsables du traitement de fournir une information détaillée sur les traitements mis en œuvre (3). L’objectif affiché était louable : une transparence accrue afin de permettre aux individus de comprendre en amont l’utilisation envisagée de leurs données par les entreprises et ainsi d’en avoir la maîtrise en leur laissant la possibilité d’effectuer un choix éclairé : refuser la communication de leurs données, s’opposer à certains traitements, ou bien encore donner leur consentement à la réalisation de certaines activités. En pratique, les entreprises ont l’obligation de fournir l’intégralité des informations prévues par le RGPD de façon concise, transparente, compréhensible et aisément accessible, en utilisant des termes clairs et simples. Or répondre à ces impératifs de manière conforme à ce qui est attendu par les autorités de contrôle – comme la Commission nationale de l’informatique et des libertés (Cnil) en France – est l’une des premières difficultés que cinq ans de pratique du RGPD ont fait émerger. En effet, les organisations ont des difficultés à concilier les exigences de fourniture d’une information exhaustive et très technique – notamment concernant les bases légales du traitement et les garanties fondant les transferts des données hors de l’Union européenne (4) – avec celles de clarté et de concision. Ainsi, au titre des effets pervers de cette obligation de transparence accrue, les citoyens européens font face à des politiques de confidentialité toujours plus longues, rédigées en des termes trop techniques ou trop juridiques. De l’autre côté, les autorités de protection des données n’hésitent pas à sanctionner les manquements à cette obligation, puisque le « défaut d’information des personnes » figure parmi les manquements les plus fréquemment sanctionnés par la Cnil (5). Cette obligation a été couplée à la fourniture de droits supplémentaires aux personnes, toujours dans une optique de leur offrir une meilleure maîtrise de leurs données. En pratique, le RGPD a repris les droits existants depuis la directive « Protection des données personnelles » (droits d’accès, de rectification, d’opposition), consacré le droit d’effacement (6) et créé de nouveaux droits (droits à la limitation du traitement et à la portabilité des données). La sensibilisation du grand public à l’existence de ces droits, grâce notamment aux actions de la Cnil et au traitement médiatique, ont eu pour effets la réception, par les entreprises, de demandes fondées sur les droits issus du RGPD de plus en plus nombreuses. Par ricochet, les autorités de protection des données ont, elles aussi, vu le nombre de plaintes déposées auprès de leurs services augmenter considérablement (7). Ainsi, la Cnil a reçu 12.193 plaintes en 2022 contre 7.703 en 2016. L’objectif fixé par le RGPD semble donc atteint sur ce point. Droit d’accès : instrumentalisation Néanmoins, ces dernières années ont également été témoin du détournement du droit d’accès, aussi bien dans la sphère sociale que commerciale. En effet, les entreprises reçoivent de plus en plus de demandes de droit d’accès dont l’objectif n’est pas de vérifier l’existence et la licéité du traitement des données, mais au contraire de se constituer des preuves dans le cadre d’un précontentieux ou d’un contentieux à l’encontre de l’entreprise. Cette instrumentalisation est parfaitement connue des autorités qui ont toutefois réaffirmé (8) que, dans le cadre de l’évaluation des demandes reçues, le responsable du traitement ne devait pas analyser l’objectif du droit d’accès en tant que condition préalable à l’exercice de ce droit et qu’il ne devait pas refuser l’accès au motif que les données demandées pourraient être utilisées par la personne pour se défendre en justice. Les entreprises n’ont ainsi d’autres choix que de donner suite à ces demandes, en restreignant la nature des données communiquées aux seules données relatives à la personne concernée et en veillant à ne pas porter atteinte aux droits des tiers (9). Des obligations de sécurité renforcées La protection des données à caractère personnel passant nécessairement par la sécurité de celles-ci, le RGPD est venu renforcer les obligations à la charge des entreprises au moyen de deux mécanismes assez efficaces : • l’obligation pour les responsables du traitement de notifier les violations de données aux autorités de contrôle (10), voire directement aux personnes concernées, respectivement lorsqu’elles présentent des risques ou des risques élevés pour les personnes; • l’obligation pour les responsables du traitement et les sous-traitants (11) de mettre en œuvre des mesures de sécurité appropriées aux risques présentés par le traitement. Il est assez difficile de déterminer si les objectifs de sécurisation des données fixés par le RGPD sont atteints. Néanmoins, dans un contexte où les attaques par rançongiciel (ransomware) se multiplient chaque année (12), les autorités de contrôle sont particulièrement vigilantes quant au respect de ces deux obligations. En témoigne notamment le fait qu’en 2022, un tiers des sanctions prononcées par la Cnil concernait un manquement à l’obligation de sécurité. Ce même manquement a conduit cette dernière à prononcer sa première sanction publique à l’encontre d’un sous-traitant (13), un éditeur de logiciel, pour un montant de 1,5 million d’euros. Elle n’a pas non plus hésité à sanctionner une entreprise qui n’avait pas informé les personnes concernées de la violation de données intervenue, alors qu’elle présentait un risque élevé pour ces dernières. Sur le respect de l’obligation de notification des violations de données, il est assez difficile de tirer de réels enseignements des chiffres disponibles, même si l’on constate des disparités importantes quant au nombre de notifications de violation de données réalisées chaque jour en fonction des pays. A titre d’exemple, il y a environ 14 notifications par jour en France, contre 27 notifications par jour au Royaume-Uni. Cette disparité se retrouve également dans le nombre de sanctions prononcées chaque année par les autorités de contrôle et l’approche suivie par ces dernières. Si l’autorité espagnole prononce énormément de sanctions, l’autorité irlandaise est régulièrement épinglée (y compris par ses homologues) pour sa clémence et le peu de sanctions prononcées depuis l’entrée en application du RGPD, alors même qu’elle fait office d’autorité chef de file de la plupart des GAFAM (14). C’est finalement sur ce point que le RGPD peine à convaincre et à remplir pleinement ses objectifs, à savoir inciter les entreprises à se mettre en conformité au moyen d’un arsenal répressif dissuasif. En effet, à l’exception des quelques fortes sanctions (dont la dernière en date de 1,2 milliard d’euros à l’encontre de Meta), prononcées principalement à l’encontre des GAFAM et des géants du Net, les sanctions à l’encontre des sociétés sont moins fréquentes que ce qui était escompté par les associations de protection des données. Et les montants des sanctions financières sont assez éloignés des montants maximums encourus (4 % du chiffre d’affaires mondial consolidé). En France, en dehors des sanctions prononcées à l’encontre des GAFAM (dont beaucoup pour des manquements en matière de cookies, non régulés par le RGPD) et très récemment de Criteo (40 millions d’euros), le montant des sanctions prononcées par la Cnil sur le fondement du RGPD oscille depuis cinq ans entre 125.000 et 3 millions d’euros (15). L’association Noyb (16), à l’origine de nombreuses sanctions prononcées en Europe au cours des cinq dernières années, dénonce une certaine résistance des autorités de contrôle et des tribunaux nationaux dans l’application effective du RGPD (17). Elle appelle à suivre l’initiative de la Commission européenne d’adopter un règlement sur les règles de procédure relatives à l’application du RGPD (18), ce qui permettrait selon Noyb d’uniformiser l’approche procédurale des autorités et ainsi de favoriser une meilleure application du RGPD. Par ailleurs, si les entreprises ont pu craindre la multiplication des actions de groupe en matière de protection des données, cette modalité d’action est à l’heure actuelle peu utilisée par les associations de protection des données. En France, seulement deux actions de groupe ont été portées devant les juridictions : l’ONG Internet Society France contre Facebook et l’association UFC-Que-Choisir contre Google. Ce qui pourrait changer au regard des dernières annonces faites par Noyb suite à l’entrée en application des dispositions issues de la directive « Recours collectifs » de 2020 (19). Vers un réexamen du RGPD en 2024 Enfin, le paysage législatif européen pourrait également avoir un impact sur l’application du RGPD. En effet, plusieurs textes européens adoptés récemment (DSA, DGA) ou en cours d’adoption (DA, AIA) ont des champs d’application recoupant celui du RGPD, ce qui va notamment nécessiter de veiller à garantir leurs bonnes articulations. A cette occasion, ou au titre de l’article 97 du RGPD (réexamen tous les 4 ans à compter du 25 mai 2020), il serait souhaitable de voir le législateur européen adresser certaines des difficultés rencontrées par les entreprises dans la mise en application pratique du RGPD. @