Bruxelles, 19/03/2015 (Agence Europe) - Les autorités nationales de protection des données personnelles, réunies dans le groupe de travail 'article 29', ont vivement critiqué mardi 17 mars, dans un avis, l'approche générale partielle obtenue le 13 mars dernier par les ministres de la Justice de l'UE sur le chapitre 2 du règlement général de protection des données.
Ce compromis n'a d'ailleurs pas plu à toutes les délégations. Il consiste à permettre l'utilisation ultérieure, notamment à visée commerciale, des données d'un utilisateur sans accord supplémentaire de sa part. Le compromis prévoit précisément que « lorsque la finalité du traitement ultérieur est incompatible avec celle pour laquelle les données à caractère personnel ont été collectées par le même responsable du traitement, le traitement ultérieur doit avoir pour base juridique au moins l'un des motifs mentionnés au paragraphe 1 par exemple, si la personne concernée a consenti sans ambiguïté au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; si le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ; si le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis, ou encore si le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne ». « Un traitement ultérieur par le même responsable du traitement à des fins incompatibles en raison d'intérêts légitimes dudit responsable du traitement ou d'un tiers est licite si ces intérêts prévalent sur les intérêts de la personne concernée », stipule encore le texte.
L'Autriche avait notamment demandé que ces points soient éclaircis d'ici à juin, date à laquelle les ministres sont censés valider leur approche globale. De nombreuses délégations misent sur l'ouverture des trilogues avec le PE pour améliorer le niveau global de protection.
Mais les régulateurs européens s'inquiètent particulièrement de cette clause d'intérêts légitimes qui permettrait aux entreprises de traiter des données même en poursuivant des objectifs incompatibles avec l'objectif de départ. Le groupe 'article 29' se dit « très préoccupé des dispositions proposées sur le 'further processing', en particulier dans le contexte des big data ». « En réalité, selon le Conseil, il sera possible pour un contrôleur de données de continuer à traiter les données même si le but est incompatible avec l'original tant que le contrôleur a un intérêt majeur dans ce traitement. Cette nouvelle possibilité offerte au contrôleur de données ouvre de graves préoccupations dans la communauté de la protection des données », écrit-il. Le groupe estime aussi que « cette situation rendrait l'un des principes fondamentaux du cadre de protection des données, le principe de limitation de la finalité, nul et sans effet ».
Une telle approche « qui confond les notions de base juridique et le traitement ultérieur à des fins compatibles, contredit l'acquis de protection des données et serait illégale en vertu du cadre juridique actuel. Il pourrait en outre n'avoir pas d'autre conséquence que de miner tout le nouveau cadre de protection des données et de diluer le niveau de protection des citoyens de l'UE par rapport à la directive 95/46 / CE en vigueur », poursuit le groupe 'article 29'. Dans ce contexte, il « invite les États membres, la Commission et le Parlement européen à prendre leurs responsabilités pour s'assurer que le libellé lié au traitement ultérieur dans le chapitre II du futur règlement soit modifié et que le droit fondamental à la protection des données des citoyens de l'UE soit adéquatement protégé ». (Solenn Paulic)