Bruxelles, 08/03/2013 (Agence Europe) - Toutes les entreprises européennes, grandes comme petites, ne devraient pas être obligées d'embaucher un responsable de la protection des données si leurs activités ne présentent aucun risque de mauvaise utilisation des données personnelles. C'est l'assurance qu'une majorité d'États membres a voulu vendredi graver dans le futur règlement européen sur la protection des données personnelles lors d'une nouvelle ministérielle. À la question posée par la Présidence irlandaise sur la possibilité que la désignation d'un responsable de la protection des données soit facultative, « la réponse est largement oui », a résumé le ministre irlandais, Alan Shatter.
Une discussion au cours de laquelle a d'ailleurs encore été soulevée une autre inquiétude, à savoir celle de l'instrument juridique choisi, le règlement voulu par Mme Reding posant toujours problème à une poignée de pays, Royaume-Uni en tête. Jeudi matin, le ministre allemand de l'Intérieur, Hans-Peter Friedrich, avait assuré à la commissaire Viviane Reding que l'Allemagne ne préconiserait plus le recours à une directive. Mais pour Alan Shatter, le débat ne semble pas entièrement clos et pourrait encore ressurgir à la prochaine réunion, prévue en juin. Plus d'un an après la présentation du règlement, en janvier 2012, les 'pro-directive' estiment toujours que le règlement de Mme Reding ne permet pas suffisamment de flexibilité pour le secteur public, par exemple les administrations fiscales devant garder certaines données des contribuables. Et cela quand bien même les différentes présidences, notamment la Présidence chypriote, se sont attelées à dissiper ces doutes.
S'il est soutenu entre autres par la Belgique, la Hongrie et le Danemark sur ce point, le Royaume-Uni reste évidemment le pays qui parle le plus fort contre ce règlement. Car, pour Londres, ce règlement aura surtout des implications financières insupportables pour les entreprises. Vendredi matin, le secrétaire d'État Chris Grayling a ainsi chiffré devant ses homologues à 200 millions d'euros par an pour le Royaume-Uni l'obligation pour les PME de disposer d'un responsable de la protection des données. Le 6 mars, celui-ci a d'ailleurs couché ses craintes par écrit dans une lettre adressée à la commissaire luxembourgeoise. Agacée, Mme Reding y a fait suite vendredi 8 mars, vantant tout le bien-fondé d'un règlement et non d'une directive pour réaliser justement un vœu cher à David Cameron: booster le marché unique digital et la croissance en simplifiant les règles et en évitant un « patchwork de 27 lois différentes ».
Rassurer, encore et toujours. « Nous ne sommes pourtant pas en train de proposer des trucs révolutionnaires », souligne une source, « juste faire en sorte que la règle soit la même partout en Europe ». La Commission n'a ainsi aucunement l'intention d'obliger « une boulangerie industrielle à désigner un responsable de la protection des données », a expliqué vendredi Mme Reding. Mais une entreprise qui traitera en revanche des données sensibles et se situera dans un secteur à risque sera logiquement obligée d'avoir son responsable de la protection des données.
Problème: cette notion de risque n'a toujours pas été définie et les ministres devront là aussi s'atteler à définir des critères clairs et même des niveaux de sanctions afférant à ces catégories de risque. Complexe. Et du côté de la Commission aussi, l'on affichait vendredi un peu plus de prudence. Si cette approche fondée sur les risques a « son importance », elle « a aussi ses limites », indique une source. Pour Viviane Reding, il faudrait ainsi éviter des dispositions illisibles qui permettraient par exemple aux avocats des grandes multinationales d'attaquer aisément les nouvelles règles. En d'autres termes: à trop préciser ces catégories de risques, il ne faudrait pas au final rendre le règlement inapplicable.
Prochaines réjouissances: de nouvelles discussions sur le principe du « one stop shop » ou sur le mode d'application des décisions prises au nom des 27 par un régulateur national. (SP)