Dans la réglementation européenne, les « données à caractère personnel » seront peut-être bientôt une notion moins absolue.
L’omnibus numérique, que Bruxelles doit présenter la semaine prochaine, va en tout cas dans ce sens. Tout du moins si on en croit le brouillon qui a filtré.
À l’heure actuelle, le RGPD définit les données personnelles comme toute information se rapportant à une personne physique identifiée ou identifiable.
L’omnibus numérique impose d’apprécier la notion du point de vue de chaque entité : des informations n’ont pas de caractère personnel pour qui ne peut pas identifier la personne concernée à l’aide de moyens raisonnables. De même, elles ne le deviendraient pas du point de vue de cette même entité simplement parce qu’un destinataire ultérieure aurait raisonnablement les moyens de réaliser cette identification.
L’omnibus numérique modifierait une autre définition inscrite dans le RGPD : celle des « données concernant la santé ». Il ne s’agirait plus que de celles qui révèlent « directement » des informations sur l’état de santé d’une personne.
La même approche serait adoptée pour amender l’article 9 (traitement de catégories particulières de données personnelles). Ne serait plus interdit que le traitement de données personnelles révélant « directement » l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, etc.
En l’état, cette interdiction ne s’applique pas si certaines conditions sont remplies. Par exemple, l’obtention d’un consentement explicite ou une nécessité pour la sauvegarde des intérêts vitaux de la personne concernée.
L’omnibus y ajoute deux possibilités, dont une touchant au développement et à l’exploitation de systèmes d’IA. Ce à condition d’avoir mis en place les mesures techniques et organisationnelles appropriées pour éviter autant que possible la collecte de catégories particulières de données personnelles. Et, le cas échéant, de supprimer ces données ou d’éviter qu’elles alimentent des outputs, soient divulguées ou soient rendues accessibles à des tiers.
L'omnibus numérique amenderait aussi l'article 13 (informations à fournir lorsque des données personnelles sont collectées auprès de la personne concernée).
Actuellement, les dispositions ne s'appliquent pas lorsque la personne concernée dispose déjà de ces informations.
À l'avenir, elles ne s'appliqueraient pas dès lors que les collectes seraient effectuées dans le cadre d'une relation "claire et délimitée" par un responsable de traitement exerçant une activité "non intensive en données". Et qu'il existe des motifs raisonnables de supposer que la personne connaît déjà les finalités et la base juridique du traitement, ainsi que l'identité et les coordonnées du responsable.
Tout cela ne vaudrait pas si les données étaient transmises à d'autres destinataires ou catégories de destinataires, transférées vers des pays tiers, exploitées pour de la décision automatisée, ou si le traitement pose un risque élevé pour les droits et libertés des personnes concernées.
La décision individuelle automatisée (article 22) évoluerait aussi en conséquence de l'omnibus numérique.
Actuellement, il est établi que la personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. Ce droit ne s'applique pas lorsque la décision est :
Le fond ne changerait pas. Mais la forme, si, au profit d'une rédaction de type "traitement automatisé autorisé sauf si...".
Un autre assouplissement est prévu sur l'article 33.
Celui-ci impose actuellement aux responsables de traitement de notifier les violations de données personnelles à l'autorité de contrôle référente sous 72 heures.
L'omnibus numérique cette obligation aux violations engendrant un risque élevé pour les droits et libertés de personnes physiques. Il porterait par ailleurs le délai à 96 heures.
La conception de listes des types d'opérations de traitement exigeant une AIPD (analyse d'impact préalable) est actuellement à la charge des autorités de contrôle, qui les communiquent aux Comité européen de la protection des données.
L'omnibus numérique supprimerait cet échelon : la liste serait directement élaborée par ledit comité, qui la transmettrait à la Commission européenne.
L'article 88, relatif au traitement des données dans le cadre des relations de travail, n'évoluerait pas en lui-même. Mais trois articles 88a, 88b et 88c viendraient le compléter.
L'article 88a encadrerait le traitement de données personnelles stockées sur ou provenant de terminaux. Il l'autoriserait s'il est nécessaire pour :
Pour toutes autres finalités, les traitements auraient à respecter les bases légales énoncées à l'article 6 du RGPD et éventuellement l'article 9 (catégories particulières de données personnelles). Un éventuel consentement devrait pouvoir être manifesté par un clic sur un bouton "ou par des moyens équivalents". Le responsable de traitement aurait à respecter ce choix pour au moins 6 mois.
L'article 88b ouvre la voie à une expression du consentement de manière automatisée et lisible par la machine. Une solution que l'UE explore depuis bien longtemps : un amendement de 2009 à la directive ePrivacy avait déjà encouragé un tel mécanisme, notamment par l'intermédiaire des paramètres de navigateur web.
Une fois les normes harmonisées établies, les responsables de traitement auraient 6 mois pour faire en sorte que leurs services gèrent ces signaux. Les médias - tels que définis dans l'European Media Freedom Act de 2024 - n'y seraient pas tenus, "vu l'importance que les revenus publicitaires représentent pour eux".
En cas d'adoption insuffisante par les fournisseurs de navigateurs web et de systèmes d'exploitation, la Commission européenne aurait le pouvoir de les contraindre par actes délégués.
L'article 88c concernerait les traitements dans le contexte du développement et de l'exploitation de systèmes d'IA. Ils les autoriserait s'ils sont nécessaires au sens de l'article 6(1)(f). C'est-à-dire au nom des intérêts légitimes du responsable de traitement ou d'un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée.
Illustration générée par IA
The post Le RGPD, parti pour changer jusqu’à la définition des données personnelles appeared first on Silicon.fr.
L’échéance approche : le 19 novembre, la Commission européenne devrait présenter son « omnibus numérique ».
Un brouillon, non daté, a filtré avant l’heure. Il est proposé d’y amender 5 textes :
Il s’agit aussi d’en abroger 4 :
Data Governance Act, directive Open Data et règlement FFDR seraient consolidés au sein du Data Act. Une démarche d’autant plus logique, à en croire Bruxelles, que ces textes se chevauchent sans que leurs interactions soient toujours claires. Le FFDR, par exemple, a en partie été remplacé par le chapitre VI du Data Act (relatif au changement de services de traitement de données). Quant au chapitre II du Data Governance Act (réutilisation de certaines catégories de données détenues par des organismes du secteur public), il complète les dispositions de la directive Open Data.
La proposition d’omnibus numérique identifie quatre éléments « importants » pour assurer un équilibre entre disponibilité des données et droits/intérêts de leurs détenteurs :
Les exigences concernant les smart contracts se trouvent au chapitre VIII du Data Act (« Interopérabilité »). Elles touchent au contrôle de l’accès, à l’archivage des données, à la résiliation en toute sécurité, etc. L’omnibus numérique les supprimerait.
Le chapitre II du Data Act régit le partage de données relatives aux produits connectés et aux services connexes. Actuellement, il permet à un détenteur de données de refuser de les communiquer au nom du secret des affaires s’il démontre qu’il existe un risque de préjudice économique grave.
L’omnibus numérique ajouterait un motif de refus supplémentaire : l’existence d’un risque élevé d’acquisition ou d’usage par des pays tiers qui ne garantissent pas un niveau de protection des données équivalent à celui de l’UE.
Une simplification du cadre business-to-government serait effectuée au niveau du chapitre V du Data Act. Celui-ci régit la mise à disposition de données au bénéfice d’organismes du secteur public, de la Commission européenne, de la BCE ou d’un organe de l’UE « sur le fondement d’un besoin exceptionnel ».
L’omnibus numérique préciserait le champ d’application en remplaçant « besoin exceptionnel » par « urgence publique ».
La fusion des dispositions de la directive Open Data et du Data Governance Act en un chapitre sur la réutilisation des données du secteur public s’accompagnerait d’évolutions. Parmi elles, la possibilité de facturer plus l’accès aux très grandes entreprises – en première ligne, les « contrôleurs d’accès » tels que définis dans le DMA – et d’y assortir des conditions spécifiques.
En parallèle, les règles du Data Governance Act concernant certaines catégories de données protégées seraient introduites dans le Data Act sous forme simplifiée, avec une clarification sur les règles applicables dans les cas où des données personnelles ont été rendues anonymes.
Le changement de fournisseur de traitement de données est encadré par le chapitre VI du Data Act.
L’omnibus numérique créerait un régime spécifique plus « léger » pour les services « personnalisés » (non commercialisés sur étagère et qui ne fonctionneraient pas sans une adaptation préalable aux besoins de l’utilisateur) à l’exception du IaaS. Ceux faisant l’objet d’un contrat signé avant le 12 septembre 2025 ne seraient soumis à aucune des obligations du chapitre (information, bonne foi, transparence sur les accès internationaux…) sauf celle relative à la suppression progressive des frais de changement.
Ce régime s’appliquerait aussi aux services fournis – dans le cadre de contrats signés avant cette même date – par des PME et des small caps. Ces dernières auraient la possibilité d’inclure, dans les contrats à durée déterminée, des pénalités de résiliation anticipée.
L’omnibus numérique incorporerait dans le Data Act deux régimes actuellement inscrits dans le Data Governance Act. D’une part, le chapitre III, qui impose une notification des autorités compétentes par les prestataires de services d’intermédiation de données. De l’autre, le chapitre IV, qui établit un mécanisme d’enregistrement volontaire des organismes altruistes en matière de données au sein de registres publics nationaux.
Vu la nature émergente des services d’intermédiation de données, leurs prestataires ne devraient pas être obligés de notifier les autorités, estime Bruxelles. Le brouillon de l’omnibus numérique va dans ce sens. Il élimine par ailleurs l’obligation de séparation juridique vis-à-vis d’autres services, la remplaçant par une exigence de séparation fonctionnelle.
En ce qui concerne les organisations altruistes en matière de données, les obligations de transparence et de reporting seraient supprimées.
Du règlement FFDR ne serait conservé qu’un principe : celui qui interdit les exigences de localisation des données sauf si elles sont justifiées par des motifs de sécurité publique.
Illustration générée par IA
The post Omnibus numérique : le grand chantier du Data Act appeared first on Silicon.fr.
Connexion