La proposition de règlement européen sur la refonte des traitements des données personnelles vient d’être adoptée par la Commission des Libertés civiles, de la Justice et des Affaires intérieures de l’Union Européenne.
Le cadre global de ce règlement renforce à la fois la protection du public et les obligations des entreprises.
Le texte consacre un droit à l’effacement des données pour les consommateurs, impliquant pour la société sollicitée de supprimer les données en question et en plus de transmettre cette demande à ses partenaires qui disposeraient également de ces données.
Le consentement du consommateur sera requis pour tout traitement de données personnelles réalisé dans le cadre d’un contrat de vente ou d’une prestation de service. Le texte consacre ici le principe de la case à cocher érigé en dogme (opt in).
Le texte va même plus loin en mettant en œuvre le droit pour le consommateur de retirer son consentement à tout moment.
Le ciblage (ou profilage) des consommateurs se trouve spécifiquement encadré. Il ne pourra être réalisé là aussi qu’avec le consentement exprès et préalable du consommateur.
Une entreprise qui souhaiterait transférer des données en dehors de l’Union Européenne devra solliciter préalablement l’accord de l’autorité chargée de son contrôle (la CNIL en France) et avertir le consommateur de ce transfert. A défaut, cette entreprise se heurterait à des sanctions très lourdes (jusqu’à 5% de son chiffres d’affaires). Le Parlement vise très clairement ici les GAFA (Google, Apple, Facebook, Amazon) et plus indirectement l’administration américaine.
Enfin, le règlement doit régler la question du sort des données pseudonymes, la première tendance serait de devoir considérer ces données comme exclues du champ d’application du règlement, position qui ne convient pas à la CNIL.
Ce texte doit encore être débattu et voté par le Parlement lors de la prochaine séance plénière en mars 2014. Une fois voté, il sera d’application immédiate en droit français.