Luxembourg, 15/06/2015 (Agence Europe) - Plus de trois ans après la présentation de la proposition législative, les ministres de la Justice de l'UE ont adopté, lundi 15 juin à Luxembourg, leur position sur le règlement relatif à la protection des données personnelles.
Cet accord politique de principe permettra aux États membres d'entamer, le 24 juin, les négociations avec le Parlement européen. Le sort de la directive traitant des données personnelles dans le cadre pénal et policier a lui été remis à la Présidence luxembourgeoise du Conseil à venir.
Le ministre letton de la Justice, Dzintars Rasnacs, a qualifié l'accord d'« historique ». Il a rappelé qu'il intervenait après « trois années de discussions intensives », pour ne pas dire mouvementées. La réforme de la directive de 1995 a en effet été marquée par les révélations d'Edward Snowden sur l'espionnage de masse et les agissements de la NSA à la mi-2013 ainsi que par plusieurs arrêts de la Cour de justice de l'UE comme celui de mai 2013 sur le 'droit à l'oubli'. Les contentieux se sont aussi multipliés entre les autorités nationales de protection des données et les géants de l'Internet comme Google ou Facebook, d'ailleurs soupçonnés d'avoir pu contribuer à retarder le processus.
Lundi, les ministres ont jugé qu'ils étaient en mesure d'adopter un compromis équilibré, défendant les intérêts des citoyens comme ceux des entreprises. La commissaire à la Justice, Vera Jourova, a jugé que le texte constituait « une bonne base de départ » tout en insistant sur le fait que le texte est perfectible.
Cet enthousiasme mesuré a été largement partagé par les ministres qui misent sur les négociations avec le Parlement européen pour affiner le texte. Certains pays n'ont toutefois pas pu aller au-delà de leurs réserves et ont décidé de ne pas soutenir l'approche générale. L'Autriche et la Slovénie ont même fait part de leurs vives préoccupations, notamment sur le traitement des données personnelles à des fins autres que celles pour lesquelles le consentement initial des utilisateurs a été donné.
Ce point de la réforme, justifié par des intérêts légitimes de l'entreprise ou des entreprises tierces, pourrait d'ailleurs constituer un point de friction avec le Parlement. L'Autriche a jugé que cet aspect de la réforme revenait à offrir une protection moins élevée que celle existant actuellement sur son territoire. Le ministre Wolfgang Brandstetter s'est néanmoins dit confiant qu'une « solution consensuelle pourra être trouvée en trilogue ». La présidence luxembourgeoise a en tout cas annoncé « sa ferme intention de conclure la réforme avant la fin de l'année », a dit Félix Braz. Un pari que certains jugent toutefois impossible à tenir.
Le règlement doit améliorer le niveau de protection des données par rapport à 1995 et renforcer le contrôle des citoyens tout comme leur offrir le droit à l'effacement, plutôt que le droit à l'oubli, qui ne figure pas en tant que tel dans le compromis.
Le consentement sans ambiguïté des citoyens est requis. Le texte prévoit notamment le consentement « sans ambiguïté » des citoyens à l'utilisation de leurs données, traitement qui peut être mené par le responsable des données d'une entreprise privée ou publique en fonction d'une base juridique regroupant 6 critères (les données servent à exécuter un contrat, le consentement sans ambiguïté a été donné, le traitement répond à une obligation légale ou est encore nécessaire pour les intérêts vitaux du citoyen…). Ce consentement peut prendre une forme écrite, orale ou impliquer qu'une case doit être cochée. Il doit en tout cas refléter le fait que le citoyen sait pertinemment ce qui est fait avec ses données. Ce consentement doit être donné pour tous les types de traitements qui seront appliqués. Mais une dérogation est permise pour placer dans certains cas les intérêts de l'entreprise au-dessus des intérêts de la personne concernée et au-dessus de ses droits fondamentaux.
L'un des axes phares est le mécanisme du guichet unique ('one-stop-shop') censé faciliter la vie des entreprises et des citoyens qui voudraient porter plainte. Ces derniers pourront désormais contacter leur autorité nationale et c'est celle-ci qui en principe devrait se prononcer sur la sanction à prendre. Dans les cas transnationaux d'importance, une autorité pourra rendre cette décision en liaison avec les autres autorités concernées dans le cadre d'un mécanisme assurant la cohérence des décisions et ayant recours à un comité ('board') européen. Une entreprise prestant ses services dans différents États membres n'aura, elle, qu'un seul référent, à savoir l'autorité du pays où elle a son siège social. Ce mécanisme est loin d'être considéré comme facilitateur par certains pays. Le Royaume-Uni et la Pologne redoutent un dispositif complexe, bureaucratique et source de multiples contentieux.
Le règlement insiste sur la situation particulière des petites et moyennes entreprises qui disposent de nombreuses dérogations ainsi que sur la flexibilité et la souplesse des règles pour les administrations publiques.
Quant aux sanctions, elles pourront aller jusqu'à 2% du chiffre annuel mondial d'une entreprise, alors que le Parlement européen a lui proposé 5% en mars 2014.
Le PE a salué cet accord. Rapporteur sur ce dossier, Jan-Philipp Albrecht (Verts/ALE, allemand) aura à coeur « de concilier » les positions même si des tensions sont attendues sur « les obligations des entreprises ». « Il y a clairement des différences », a-t-il réagi, convaincu que des négociations « constructives » permettront au législateur européen de tenir les délais fixés. (Solenn Paulic)