Le Comité européen de la protection des données (EDPB) a adopté, jeudi 11 septembre, ses lignes directrices sur l'articulation entre le règlement sur les services numériques (DSA) et le règlement européen sur la protection des données (RGPD).
Si les lignes directrices publiées reconnaissent effectivement que « la détection, l'identification et le traitement de certains contenus illicites dans le cadre du DSA peuvent impliquer l'utilisation de données à caractère personnel », elles assurent cependant « préciser dans quelles conditions l'article 6 du RGPD peut servir de base légale pour justifier ces mesures [de traitement] ».
L'EDPB précise que les mécanismes d'alerte et de notification, ainsi que « les systèmes internes de traitement des plaintes requis par le DSA sont également concernés par le traitement de données personnelles. Les hébergeurs [de ces mécanismes] ne devraient collecter que les données nécessaires », estime le Comité.
Les lignes directrices s'attaquent également aux interfaces trompeuses, interdites dans le cadre du DSA, mais dont certaines modalités sont déjà couvertes par le RGPD. Elles détaillent les « éléments clés à prendre en considération pour déterminer si un modèle d'interface trompeuse est déjà couvert par le RGPD » et, en particulier, si le traitement de données personnelles a une « influence » sur les évolutions du comportement des utilisateurs.
Sur la question des données collectées par les plateformes pour assurer leurs systèmes de recommandation, l'EDPB estime que ces pratiques « soulèvent des préoccupations quant à la transparence des données utilisées et aux risques potentiels liés à leur traitement à grande échelle et/ou sensible ».
Selon le Comité, ces systèmes de recommandation peuvent représenter une « décision » au sens de l'article 22 du RGPD. Les fournisseurs de plateformes en ligne doivent faire en sorte de « ne pas inciter les utilisateurs à choisir l'option d'un système de recommandation basé sur le profilage ».
Dans le cas où l'utilisateur refuse les options « ciblées », l'EDPB estime que la plateforme en ligne « ne doit pas continuer à collecter et à traiter des données à caractère personnel ».
Enfin, l'EDPB souhaite que la relation entre les codes de conduite élaborés dans le cadre des deux règlements soit « clarifiée ».
Voir les lignes directrices : https://aeur.eu/f/ify (Isalia Stieffatre)