L’Europe et la protection des données personnelles en 3 minutes

Définie par une directive européenne de 1995, une donnée à caractère personnel consiste en “toute information concernant une personne physique identifiée ou identifiable”. Celle-ci peut permettre d’identifier une personne “directement” (son nom, son prénom) et “indirectement” (numéro d’identification, données de localisation, identifiant en ligne, ainsi que tous les “éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale”).

Une personne peut aussi être rendue identifiable par le croisement de plusieurs données personnelles. C’est le cas par exemple d’une base de données marketing qui contient des informations “sur la localisation, l’âge, les goûts et les comportements d’achats de consommateurs, y compris si leur nom n’est pas stocké […] dès lors qu’il est possible de remonter à une personne physique déterminée en se basant sur ces informations”, explique la CNIL, l’agence française chargée de réguler les données personnelles liées au numérique.

Pourquoi protéger les données personnelles ? 

Avec le développement du numérique, les données à caractère personnel sont devenues bien plus accessibles et utilisées par tous types d’acteurs. Tout consommateur se voit ainsi régulièrement proposer des publicités ciblées en fonction de ses recherches sur internet, ses achats enregistrés sur une carte de fidélité, son inscription à un club de sport ou même parce que ses données de géolocalisation ont permis de constater qu’il se rendait régulièrement dans un centre de santé. 

Cette connaissance de la vie privée peut s’avérer plus intrusive encore lorsqu’elle est mise à profit par des banques, des assurances ou des services de renseignement… En 2016 aux Etats-Unis, dans le cadre de la campagne présidentielle du candidat Donald Trump, l’entreprise Cambridge Analytica a exploité les données personnelles de 220 millions de citoyens américains afin de leur proposer des publicités politiques ciblées. La même pratique aurait été employée au Royaume-Uni, lors du référendum sur le Brexit. L’usage des données personnelles s’invite ainsi au cœur du processus démocratique.

Que prévoit le règlement général sur la protection des données (RGPD) ?

Entré en vigueur le 25 mai 2018, le règlement européen sur la protection des données (RGPD) encadre l’utilisation des données personnelles dans l’ensemble de l’Union européenne. 

Il donne à tout citoyen le droit de recevoir des informations claires et compréhensibles sur les personnes qui traitent leurs données, sur le type de données traitées et sur la raison pour laquelle elles sont traitées, de même qu’il garantit l’accès aux données à caractère personnel qu’une organisation détient sur eux.

Le RGPD procure également le droit d’obtenir, de la part d’un prestataire de service (par exemple un opérateur mobile), la transmission de ses données à caractère personnel à un autre prestataire de service. C’est ce qu’on appelle la “portabilité des données”. Il établit en outre le “droit à l’oubli” : toute personne peut dorénavant demander que ses données à caractère personnel soient supprimées.

Les entreprises doivent enfin obtenir un consentement univoque des individus avant d’utiliser leurs données et indiquer clairement l’usage qui en sera fait. Si les données sont perdues ou volées, et si la violation de données ainsi commise est susceptible de porter préjudice, l’entreprise d’origine doit en informer les personnes concernées.

Enfin, le RGPD encadre également le transfert de données personnelles des citoyens de l’Union européenne vers d’autres pays. Ces derniers doivent ainsi assurer un niveau de protection des données suffisant et approprié.

À LIRE AUSSI

RGPD : la CNIL dresse son bilan de 5 ans de protection européenne des données personnelles

Quelles sont les sanctions prévues en cas de non-respect du RGPD ? 

Lorsqu’une entreprise contrevient au RGPD, elle peut se voir infliger une amende allant jusqu’à 20 millions d’euros ou 4 % de son chiffre d’affaires mondial.

En janvier 2019 par exemple, la CNIL avait condamné à Google à verser 50 millions d’euros pour non-respect du RGPD. En cause : les informations fournies lors de la création d’un compte Google sur un téléphone Android n’étaient ni facilement accessibles, ni aisément compréhensibles et le consentement des utilisateurs était présélectionné. 

Autre exemple en 2023 : la firme Meta s’est vue infliger une amende de 1,2 milliard d’euros par l’Irlande pour avoir transféré aux Etats-Unis des données personnelles d’utilisateurs européens depuis Facebook, en violation de la législation de l’UE.

À LIRE AUSSI

Données personnelles : le régulateur irlandais inflige une amende record de 1,2 milliard d’euros à Meta

Quels sont les autres textes européens encadrant l’utilisation des données personnelles ? 

La Charte des droits fondamentaux de l’Union européenne garantit aux citoyens le droit à la protection, à l’accès et à la rectification de leurs données personnelles. Ces droits assurent un traitement légal et transparent des données.

La directive sur la protection de la vie privée dans le secteur des communications électroniques (“e-privacy”) de 2002 couvre quant à elle plus spécifiquement la vie privée sur Internet. Depuis 2021, elle fait notamment l’objet d’une dérogation pour lutter contre les abus pédopornographiques en ligne.

Une autre directive, adoptée en 2016, encadre les droits des citoyens lorsque leurs données sont utilisées par les autorités en lien avec des infractions pénales.

Applicables depuis 2023 et 2024, le règlement européen sur la gouvernance des données (“Data governance Act”) et le règlement européen sur les données (“Data Act”) visent quant à eux à créer un marché européen des données, qu’elles soient personnelles ou non. Ils ont ainsi pour objectif de à favoriser et d’encadrer le partage de ces données, notamment dans le secteur des objets connectés. 

Enfin, de nombreux autres textes ou projets européens traitent de la protection des données personnelles. C’est par exemple le cas du portefeuille d’identité numérique de l’UE en vigueur depuis 2024, qui doit permettre aux citoyens et résidents de l’UE de s’identifier en ligne pour accéder à des services publics et privés dans toute l’Europe. Mais aussi de la directive PNR de 2016 sur les passagers aériens, de la base de données biométriques sur les migrants Eurodac, du projet de certification sur les services d’informatique en nuage ou encore de l’espace européen des données de santé.

À LIRE AUSSI

La politique numérique de l’Union européenne