Stratégie de réforme de la protection des données: le CEPD présente sa conception du nouveau cadre juridique

Le 14 janvier 2011, le Contrôleur européen de la protection des données (CEPD) a publié un avis sur la communication de la Commission relative à la révision du cadre juridique européen pour la protection des données personnelles (*). La communication marque une étape essentielle sur la voie d'un nouveau cadre juridique qui constituera le développement le plus important dans le domaine de la protection des données au niveau de l'Union européenne depuis l'adoption de la Directive européenne sur la protection des données il y a 16 ans.

Le CEPD accueille favorablement l'intention de la Commission de réformer le cadre juridique de protection des données car il est convaincu que le régime législatif actuel ne sera à même d'assurer une protection suffisante à long terme dans un contexte de société de l'information en développement et de mondialisation. Il partage l'avis de la Commission que, dans l'avenir, un système solide de protection des données est absolument nécessaire, tout en se fondant sur l'idée que les principes généraux de vie privée et de protection des données restent valides (**). La perspective d'un avenir sans un système efficace de protection des données et de vie privée ne peut être concédée.

L'avis présente la vision du CEPD pour le futur cadre et propose une série de recommandations. Le CEPD soutient les principaux enjeux et défis identifiés par la Commission, mais demande des solutions plus ambitieuses afin de rendre le système plus efficace et donner aux citoyens un meilleur contrôle sur leurs données personnelles.

Selon Peter Hustinx, CEPD: "Dans une société de l'information où d'énormes quantités d'informations personnelles sont traitées de manière continue, les citoyens ont besoin, et demandent à juste titre, de garder le contrôle sur leurs données personnelles. Si nous voulons renforcer les droits des citoyens sur leurs données personnelles, nous devons nous assurer que les individus restent maîtres de leurs informations personnelles et que les responsables du traitement prennent l'initiative d'inclure la protection des données dans leurs procédures de travail. Il est également essentiel que le futur cadre couvre les domaines de la police et de la justice."

Selon le CEPD, les principes directeurs devant guider le processus de révision devraient être les suivants:

• les droits des personnes doivent être consolidés: la protection des données est un droit fondamental et les individus doivent être protégés en toutes circonstances. Le CEPD propose d'introduire une notification obligatoire sur les failles de sécurité couvrant tous les secteurs concernés, ainsi que de nouveaux droits, en particulier dans l'environnement en ligne, tels que le droit à l'oubli et la portabilité des données ^(***). Les données relatives aux enfants doivent également être mieux protégées;
• la responsabilité des organisations doit être renforcée: le nouveau cadre doit comporter des incitations pour les responsables du traitement dans le secteur public et privé de prendre l'initiative d'intégrer de nouveaux outils dans leur processus opérationnels en vue d'assurer le respect de la protection des données (principe de responsabilisation). Le CEPD propose l'introduction de dispositions générales sur la responsabilitation et le "privacy by design";
• l'intégration de la coopération policière et judiciaire dans le cadre juridique est une condition sine qua non pour une protection efficace;
• une harmonisation plus poussée doit constituer l'un des principaux objectifs de la révision. La Directive sur la protection des données devrait être remplacée par un règlement directement applicable;
• le nouveau cadre juridique doit être formulé de manière technologiquement neutre et doit avoir pour ambition de créer une sécurité juridique sur le long terme;
• les pouvoirs d'exécution des autorités de protection des données devraient être renforcés et leur indépendance mieux garantie dans l'UE.

(*) Communication de la Commission du 4 novembre 2010 sur " Une approche globale de la protection des données à caractère personnel dans l'Union européenne" COM(2010) 609 final

(**) Ces principes sont énoncés dans la Convention 108 du Conseil de l'Europe et dans l'article 8 de la Charte des droits fondamentaux de l'Union.

(***) Le droit à l'oubli fait référence au droit de voir ses données supprimées ou non cessées d'être transmises après une période de temps déterminée. La portabilité des données est la possibilité de transférer des données d'un endroit à l'autre et de ne pas être lié à un système particulier.