Règlement européen sur la protection des données : une étape décisive franchie par le Parlement européen

Le vote de la Commission LIBE est un signal politique puissant qui exprime une identité politique forte de l’Union européenne sur un sujet essentiel, tant sur le plan des valeurs que sur celui des enjeux économiques. La CNIL se félicite que la Commission LIBE se soit tenue à son calendrier et ait voté en même temps sur les deux propositions, soulignant ainsi son attachement à traiter de façon globale la protection des données personnelles. De manière générale, les principes de la protection des données et les droits des citoyens sortent renforcés de ce vote, ainsi que les obligations des responsables de traitement et des sous-traitants, avec des sanctions plus dissuasives à la clé. En outre, sur plusieurs points, les propositions faites par la CNIL ont été entendues. Concernant les suites de l’affaire PRISM, et comme la CNIL l’avait expressément demandé dès début 2013, le texte introduit un contrôle des autorités de protection sur les demandes d’autorités administratives et judiciaires de pays tiers d’accéder aux données relatives à des citoyens européens. Cette réponse, certes partielle, mais politiquement importante est une première étape vers la construction d’un cadre juridique protecteur à l’encontre des activités de renseignement de pays tiers. En ce qui concerne le projet de directive, et comme l’avait demandé la CNIL, le traitement des données biométriques fait l’objet d’un encadrement plus strict que dans la proposition initiale, et il est expressément laissé aux États membres la possibilité de prévoir un niveau de protection plus élevé. Le processus n’est pas terminé et les textes évolueront encore. A ce stade, la CNIL reste préoccupée sur certains points majeurs du projet de règlement :

• Le critère de compétence des autorités de protection, fondé sur les citoyens qui sont ciblés, doit apparaître de manière explicite ;
• Dans des situations transfrontalières, les citoyens concernés doivent pouvoir former un recours devant la juridiction administrative de leur pays de résidence contre les décisions qui les affectent ;
• Les données pseudonymes restent des données personnelles. Il faut donc écarter toute idée de régime dérogatoire pour celles-ci, lequel conduirait à soustraire une part croissante des données personnelles à la protection qu’elles méritent.