Bon anniversaire au RGPD ?

Le RGPD impose aux entreprises de faire preuve d’une transparence accrue en ce qui concerne les traitements de données qu’elles effectuent. Si les consommateurs étaient habitués à voir figurer des mentions d’information en bas des formulaires de collecte de données personnelles, les candidats ou fournisseurs n’étaient, eux, pas habitués à ce que les entreprises fassent preuve, vis-à-vis d’eux également, d’une véritable transparence. Inversement, les entreprises n’étaient pas habituées à faire preuve d’autant de transparence.

Les entreprises ont dû recenser l’ensemble de leurs fournisseurs et prestataires afin de contractualiser avec eux la répartition de leurs responsabilités en matière de protection des données, et ont entrepris de qualifier le rôle qui était dévolu à chacun de leur fournisseur (sous-traitant, responsable de traitement conjoint, responsable de traitement distinct), tâche beaucoup plus complexe et chronophage qu’il n’y paraît.

Les entreprises ont également dû déterminer précisément des durées de conservation adaptées à chaque donnée personnelle collectée. C’est l’un des points qui s’avère souvent des plus complexes : cela nécessite un partenariat étroit entre les équipes juridiques et les équipes IT afin de déterminer des durées de conservation adaptées aux obligations de l’entreprise et aux délais de prescription. Une fois ces durées déterminées, il s’agit de les mettre en place de manière effective dans les processus internes. Cela n’est pas évident car les outils dont disposent les entreprises ne sont pas nécessairement adaptés à la mise en place de purges ou d’archivages efficaces.

Enfin, les entreprises ont dû informer et sensibiliser l’ensemble de leurs équipes aux enjeux liés à la protection des données personnelles, soit par le biais de formations e-learning, par l’intervention sur place de personnes spécialisées sur le sujet ou encore par le biais de documents écrits.
 
En tout état de cause, le tournant n’a pas été évident pour toutes les entreprises et la marche a été plus haute pour certaines que pour d’autres : celles qui n’avaient jamais rien fait depuis 1978, date à laquelle la loi Informatique et Libertés a commencé à s’appliquer, ont forcément été plus occupées que les autres.

Avance-t-on dans le sens d’une réglementation mondiale ?

ADRIEN BASDEVANT

Il n’existe effectivement pas de réglementation uniformisée à l’échelle internationale. Une tendance très intéressante semble toutefois se dessiner. Le RGPD devient un outil de soft power européen. N’ayant pas de géants du numérique, contrairement à la Chine ou aux Etats-Unis, l’Union européenne utilise le RGPD comme instrument pour influer sur les législations étrangères.
 
FLORENCE CHAFIOL

De plus, les nombreux scandales de violation des données qui ont eu un impact médiatique majeur, tels que Cambridge Analytica, Equifax ou Uber, ont fait de la protection des données personnelles un sujet central et une préoccupation au niveau mondial.

• Aux Etats-Unis, les initiatives pour adopter une législation protectrice des données personnelles se multiplient avec l’adoption par de nombreux Etats de lois et récemment l’adoption de la California Consumer Privacy Act (adoptée le 28 juin 2018, et entrée en vigueur le 1er janvier 2020).
• Le Brésil a adopté sa propre réglementation sur la protection des données le 14 août 2018 (entrée en vigueur le 1er février 2020) visant ainsi à empêcher l'utilisation abusive des données personnelles et à offrir un meilleur niveau de confidentialité et de sécurité aux personnes concernées.
• La Chine a adopté une loi sur la cybersécurité le 7 novembre 2016 (entrée en vigueur le 1er juin 2017) dont 11 articles sont consacrés à la protection des données. Elle a également établi des principes généraux en décembre 2017 (entrée en vigueur le 1er mai 2018) qui semblent présenter des similitudes avec l’approche européenne.

De plus, plusieurs pays ont mis à jour leur législation nationale dans le but de faciliter les discussions avec la Commission européenne pour l’adoption d’une décision d’adéquation. En effet, cette décision est prise lorsque la Commission constate qu’un pays tiers ou une organisation internationale assure un niveau de protection adéquat et conforme aux principes européens (Article 45 du RGPD). C’est par exemple le cas du Japon qui a fait l’objet le 25 janvier dernier d’une décision d’adéquation qui aura pour conséquence de fluidifier les transferts de données entre les pays de l’Union européenne et le Japon.
 
ADRIEN BASDEVANT

Cela n’aboutira sans doute pas à l’élaboration d’une réglementation mondiale harmonisée, mais peut contribuer à une convergence vers des standards communs. Cette confluence aura d’autant plus de chances d’advenir si le RGPD est perçu comme un avantage compétitif décisif. En effet, des multinationales vont vouloir se saisir de ces réglementations pour se différencier de leurs concurrents. C’est le cas de Microsoft, qui applique le RGPD non seulement au sein de l’UE mais dans tous les autres pays du monde, afin de se démarquer des pratiques d’autres GAFA.
 
FLORENCE CHAFIOL

Le modèle européen pourrait certes être un standard mondial de protection des données personnelles. Cependant, à ce stade, la multiplication de lois différentes sur la protection des données personnelles au niveau mondial est quelque peu inquiétante car cela vient complexifier la tâche des entreprises qui doivent se conformer à des réglementations différentes, qui ne sont pas forcément toujours compatibles.

Quelles devraient être les prochaines étapes pour assurer le respect de la vie privée des citoyens européens ?

ADRIEN BASDEVANT

La prochaine étape sera d’appliquer les règles déjà existantes. Plusieurs dispositions très protectrices, comme celles relatives aux décisions automatisées ou au profilage, n’ont jamais fait l’objet de décisions judiciaires. Par ailleurs, il va falloir affiner l’interprétation des principes du RGPD, par exemple afin de mettre à jour les codes de conduite sectoriels (assurance, santé, etc.) ainsi que pour l’imbrication avec des technologies de pointe (blockchain, chiffrement homomorphe, anonymisation, etc.). Toute la difficulté et le paradoxe avec l’auto-régulation prônée par le RGPD est qu’elle induit une forme d’insécurité juridique pour les groupes les plus proactifs et innovants. En effet, dans certaines hypothèses, ces derniers ne peuvent être certains que leur approche sera validée tant qu’ils ne sont pas contrôlés.

Ainsi, le "Privacy by design" était un concept éthique proposé dès les années 90 par Ann Cavoukian (responsable de l’Office de protection de données à Ontario) avant de devenir une obligation légale, trente ans plus tard, au sein du RGPD. Il est en revanche fondamental de résister à la tentation contemporaine de vouloir substituer le droit par l’éthique, car on a besoin de règles contraignantes. On ne peut se contenter uniquement de droit mou pour aborder des sujets de société.

FLORENCE CHAFIOL

Par ailleurs, il est vraisemblable que l’on voie apparaître une multiplication d’actions menées par des groupes de personnes souhaitant faire entendre leurs voix par le biais d’associations ou d’organismes pouvant les représenter. En effet, les individus peuvent de manière collective former des réclamations s’ils considèrent que les droits que leur confère le RGPD en matière de protection des données ont été violés. Peu d’actions ont pour le moment été lancées mais je ne serai pas étonnée que cette pratique se développe.